（文/汤普济 编辑/吕栋）
10月21日晚，腾讯云发布PHP远程代码执行漏洞风险通告，提醒用户立即开展安全自查并更新修复，谷歌云也要求客户检查受影响的PHP运行环境。
多家科技公司接连发出预警，背后是一场涉及全球大量网站底层软件的安全事件。
此次漏洞出现在PHP中，编号分别为CVE-2026-109618和CVE-2026-109619，安全研究人员将其称为“PHP2Shell”。两项漏洞的CVSS 4.0评分均为9.2分，属于严重级别。
PHP是一种广泛用于服务器端的开源编程语言。用户登录网站、搜索商品、提交评论时，服务器都需要处理请求、访问数据库并生成相应内容，PHP便承担了其中一部分工作。WordPress等内容管理系统，以及大量电商平台、论坛、媒体网站和企业应用，都可能依赖PHP运行。
据W3Tech的统计，截至10月21日，在能够识别服务器端编程语言的网站中，约69.3%使用PHP。
腾讯云在风险中指出，攻击者可以通过发送特制的multipart POST请求，触发PHP内部的内存破坏，最终实现远程代码执行。
腾讯云
这次漏洞在于PHP处理请求时的底层机制出现了缺陷。PHP官方披露，其中一项漏洞涉及内存不足时的异常处理：程序内部数据尚未完成初始化，后续清理过程却可能将其当作正常数据处理。另一项漏洞则可能导致服务器错误使用已经释放的失效内存，使攻击者有机会读取敏感数据。
PHP官方指出，使用Apachemod_php的部署环境风险尤其高，攻击者可能在网站业务代码开始运行前触发攻击。其他PHP运行环境也需排查，不能仅凭网站设置了登录验证，就认定其不会受到影响。
值得注意的是，PHP基金会在10月21日发布的事件复盘中披露，其中一类内存管理风险早在2024年就已被发现。当时，PHP接受了一次外部安全审计，核心开发人员在修复审计发现的问题时，注意到内存不足处理机制可能存在缺陷，但没有找到足以证明其能够被用于远程代码执行的具体攻击路径。
事件复盘PHP基金会
由于修复方案可能影响旧程序的兼容性、性能及第三方扩展，维护团队未能及时就解决方案达成一致，修复工作因此数次停滞、重启。
据《华尔街日报》，今年8月，美国安全公司Calif的研究员Ryan Austin在审计PHP源代码时，借助OpenAI的GPT-5.6 Sol发现了关键缺陷，进一步研究如何将其转化为实际攻击。
8月11日，Calif首席执行官Thai Duong联系PHP安全工程师Volker Dusch，告知研究团队已经找到可导致服务器执行恶意代码的攻击路径，PHP维护团队随即将修复工作提升至最高优先级。
OpenAI声称，其团队也发现并报告了相关漏洞；安全公司Wiz则独立发现了两项漏洞。谷歌随后披露，旗下Gemini 4 Argon也参与了漏洞发现、利用程序开发、攻击检测和补丁验证工作。
漏洞确认后，PHP维护者与研究机构、云服务商和安全公司进行了数周协作。修复工作涉及近200个文件、超过一万行代码。团队不仅需要消除攻击路径，还必须检查修改是否影响旧程序和第三方扩展，避免安全更新引入新的运行故障。
PHP团队原计划于10月22日14时UTC（北京时间22时）发布安全更新。但10月20日约15时UTC（北京时间10月20日23时），两个漏洞的CVE编号和发布日期已开始在网络论坛及社交媒体流传。PHP团队随后提前公布安全预告，并将正式发布时间提前一天。
预告发布后约半小时，即北京时间10月21日4时左右参与报告漏洞的安全公司Calif意外公开了一段PoC（概念验证）视频，展示了相关程序在多个目标上的运行情况，并透露了部分漏洞技术细节。视频虽然随后被删除，但副本很快在社交媒体传播，推动其他PoC加速开发，并于10月21日进一步扩散。
10月21日14时UTC（北京时间22时），PHP按提前后的计划发布PHP 8.5.12、8.4.27、8.3.36和8.2.35四个修复版本，覆盖仍受支持的版本分支。
PHP官方表示，没有能够完全消除风险的临时缓解措施，更新是唯一安全的选择。
在补丁正式公开前，部分网站运营方无法确认系统安全状况，只能先行暂停服务。
路透社称，欧洲多国政府网站及公共服务、澳大利亚部分政府网络服务，以及维基媒体旗下部分服务均出现停机或维护。
与此同时，日本多家游戏、内容和电商平台也于10月21日晚启动紧急维护，部分游戏暂停运营，pixiv、BOOTH等平台的部分功能暂时无法使用。
PHP基金会2026年第二季度报告显示，其核心开发团队共有13人，分布在8个国家，多数开发者以兼职方式参与。该基金会在复盘中承认，熟悉PHP核心引擎的开发人员规模有限，且承担多项维护任务，安全决策机制和资源不足共同导致了此次修复延误。
本文系观察者网独家稿件，未经授权，不得转载。
