PHP：今天让半个互联网瘫痪的三个字母

今天，4chan、DeviantArt、Wikipedia，连街角咖啡馆发狗狗照片的那个小博客，全都出了大问题，罪魁祸首是两个靠 AI 发现的漏洞。这两个“严重漏洞”藏身于 PHP 编程语言中——支撑着大半个互联网的语言，所有用 WordPress 搭建的网站都跑在上面。但受影响远不止这些。荷兰和芬兰的一些政府机构为保险起见直接关停了网站。NSA 的网络安全账号在 X 上建议，如果“无法立即更新”，各机构应将系统下线，英国国家网络安全中心也发出了同样建议。据 Kotaku 报道，连《Pokémon Home》和《Pokémon Champions》都被迫下线。

这个漏洞其实并不新，它在 PHP 里已经存在了大约 20 年，只是以往要利用它，“需要一条极其复杂的攻击链，几乎到了人类研究者实际能力的天花板”，安全公司 Wiz 如此表示。而如今，强大的 AI 模型让把这类隐晦的缺陷变成危险漏洞变得容易多了。

作为普通网民，你可能在想：“RCE via OOM corruption”这一堆术语到底什么意思？自己该有多担心？这么严重的漏洞，为什么能潜伏这么久都没被发现？

PHP 是什么？

调查机构 W3Techs 称，“在我们已知服务端编程语言的网站中”，有 69.3% 使用 PHP，其中包括 Wikipedia、WordPress 这类热门网站。网络安全网站 VirusTotal 表示，其扫描器目前检测到约 380 万个运行 PHP 且至少开放了一个端口的网站。

发生了什么？

根据 OpenAI 的消息，一个名为 Calif 的 AI 安全团队利用 GPT-5.6 Sol 发现了一个“严重”的 PHP 缺陷，而 Google 旗下的 Wiz 则独立 发现并报告了这些漏洞。PHP 基金会表示，针对其中一个漏洞的攻击手段在 2024 年就被“设想”过，但当时“未发现具体的利用路径，其他影响明确的具体问题掩盖了这些担忧。”

如今，PHP 团队指出，黑客可以利用这两个漏洞进行“未认证的远程代码执行”，即在无需管理员登录或密码的情况下，运行自定义代码、篡改内容并访问网站存储的数据。

通过 OOM 损坏实现 RCE，CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：内存溢出处理可能在内部请求数据仅部分初始化时中断 PHP。随后的请求清理过程可能会将这些无效数据误判为有效。

通过过期全局状态实现 RCE，CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：请求拥有的内部状态可能在底层内存释放后仍然存在。后续由同一工作进程处理的请求可能在常规初始化重置之前使用该过期状态。

情况有多严重？

非常严重。PHP 团队表示，基本上所有运行 PHP 的网站都面临风险。参与漏洞研究的 OpenAI 称：“我们认为这是近期内影响最重大的安全问题之一。”Wiz 也表示，这是“软件史上发现的最严重漏洞之一。”

昨晚，Cloudflare 的首席技术官 表示，他们“已观察到早期攻击的迹象。”

很难低估此次事件的严重性。这些漏洞可能让攻击者完全掌控服务器，从而获取密码、API 密钥、加密证书以及敏感信息数据库。攻击者还能在服务器上执行代码，将其转化为攻击其他存在漏洞服务器的跳板。此外，借助 AI，在漏洞公开后，有决心的黑客利用这些缺陷也变得相对容易。

我可以做什么？

作为普通用户，能做的不多。该漏洞影响的是运行 PHP 的服务器，并不直接针对用户，但它可能被用来在受损站点中传播恶意软件并窃取其他有价值的数据。如果你希望更加谨慎，可以在访问常用网站或服务之前，查看其社交账号是否发布了相关更新。

如果你拥有网站，即使是简单的博客，也是时候检查网站使用的 PHP 版本了。如果你使用的是 Squarespace 或 Wix 等服务，那就无需担心，因为它们不支持 PHP。

Hostinger、GoDaddy、Bluehost 或其他网站托管服务的客户应更加谨慎。GoDaddy 表示，任何使用 PHP 的网站都应假设自身受到影响，并尽快更新至修复版本。同时，运行 PHP 8.1 或更早版本的网站应升级到新版本，因为这些旧版本已不再受支持，官方也不会提供补丁。

使用托管服务的用户应联系服务商，询问修复版本预计何时部署。如果你在服务器上销售产品、提供服务或存储任何敏感数据，最好是在主机商修补 PHP 版本之前暂时禁用网站。