紧急修复针对广泛使用的网络软件中的两项弱点
在软件被发现存在两项安全弱点后，韩国互联网振兴院（KISA）于2026年10月21日敦促网站运营者更新PHP。这类软件用于运行登录页面、购物服务和讨论区。所报告的风险包括攻击者无需先登录即可在服务器上运行代码。
目录
KISA将这两项漏洞列为CVE-2026-109618和CVE-2026-109619。前者涉及对异常情况处理不当，后者涉及释放内存后仍继续使用。其更新要求涵盖PHP的四个发布分支：8.2.35、8.3.36、8.4.27和8.5.12。
韩国科学技术信息通信部和KISA于10月21日晚向国家网络安全网络中的企业和机构发出安全通报。政府部门于10月22日介绍了相关工作，并在考虑为小型企业提供紧急协助，帮助其安装补丁。
这些统称为PHP2Shell的弱点引发了国际响应。据报道，荷兰和芬兰的一些政府机构出于预防目的暂停了网站服务，欧洲、日本和澳大利亚的网络安全部门也敦促用户更新。另有报道称，美国机构建议，在无法立即安装补丁时，应让受影响系统暂时离线。
哪些PHP版本需要处理？
KISA的建议为每个受影响的PHP分支设定了不同的最低版本。一个分支是一系列相关版本的集合：例如，使用PHP 8.3的网站需要更新到该分支中已修复问题的版本，或适用的较新受支持版本。
- PHP 8.2：更新低于8.2.35的版本。
- PHP 8.3：更新低于8.3.36的版本。
- PHP 8.4：更新低于8.4.27的版本。
- PHP 8.5：更新低于8.5.12的版本。
KISA还警告，PHP 8.1及更早版本已停止官方安全支持。该机构建议使用这些版本的运营者迁移到受支持版本，而不是继续使用已停止官方安全维护的软件。
对企业负责人而言，实际操作的第一步是确认网站服务器上运行的PHP版本。这类软件可能由托管服务商管理，也可能由企业内部技术团队负责。更新笔记本电脑上的浏览器，影响的是系统的另一部分。
两项漏洞可能造成的后果
CVE-2026-109618涉及异常情况，即软件运行过程中遇到偏离正常操作的情况。程序必须以安全的方式处理这些情况；如果处理失败，软件就可能出现非预期行为。
CVE-2026-109619被描述为释放后使用漏洞。软件会临时占用计算机内存区域，并在使用完毕后释放。此类漏洞是指程序之后又尝试使用已经释放的内存区域，可能因此访问已更改或属于其他操作的数据。
所报告的风险是未经身份验证的远程代码执行。通俗地说，网站外部的人员可能无需提供有效用户名或密码，就能让网站服务器运行指令。攻击一旦成功，可能导致信息泄露、恶意软件安装或服务中断。
公开通报并未说明利用每项弱点所需的具体服务器配置和请求条件。因此，运营者需要核查受影响软件的版本，并就自身安装情况获取技术指导。
WordPress为何让普通企业也面临这一问题
PHP运行在网站服务器上，而不是访客的手机或电脑上。当购物者请求查看订单记录时，PHP程序可以从数据库中调取相关记录，并生成页面发送给浏览器。登录系统、评论区和留言板也可以采用相同的工作方式。
用于创建和管理网站的WordPress同样基于PHP运行。因此，这次安全响应关系到博客、企业网站和网店，而这些网站的所有者可能很少直接接触底层编程语言。
据网站技术测量服务机构W3Techs的数据，在能够识别服务器端编程语言的网站中，约75%使用PHP。WordPress则占所有网站的约43%。PHP这一数据采用的统计范围较窄，仅包括能够识别服务器端语言的网站；WordPress的数据则涵盖所有网站。
这些数据说明了此次响应涉及范围之广。许多由不同主体独立运营的网站依赖相同的底层软件，因此一次修复行动可能同时涉及公共机构、大型企业和小型企业。
韩国通过两条安全渠道联系企业
韩国科学技术信息通信部和KISA于10月21日向网络威胁信息分析与共享系统C-TAS的成员，以及依法必须登记首席信息安全官（CISO）的企业发出安全通报。
C-TAS约有5900家企业和机构参与。根据韩国《信息通信网络法》，约3万家企业必须指定CISO并向主管部门申报。CISO是负责组织信息安全工作的高级官员。
这两个数字对应不同的联系群体，彼此之间可能存在重叠。政府还通过KISA的公共网络安全门户“Boho Nara”发布安全更新和补丁安装建议。
小型企业面临实际的人手问题：有些企业没有员工能够确认是否存在受影响的软件、安排更新，并在更新后检查网站能否正常运行。一名政府部门官员表示，政府已先行发布安全指导，并正在考虑提供紧急补丁协助。相关协助尚未公布启动日期或申请资格规则。
事件进展
据报道，事件始于2024年的一次外部安全审计，并在2026年10月加速发布修复版本。关键时间点如下：
- 2024年：据报道，一次外部审计发现了部分缺陷迹象。内部意见分歧，以及对与现有软件兼容性的担忧，被列为当时未推进补丁开发的原因。
- 2026年10月21日：据报道，PHP开发人员发布了两项漏洞的修复程序，KISA也发布了更新建议。
- 10月21日晚：韩国有关部门通过企业和机构渠道发出安全通报。
- 10月22日：韩国有关部门介绍了相关工作。这也是原计划发布补丁的日期。
据报道，由于漏洞信息泄露，补丁发布时间提前了一天。修复程序公开前也据称已发现攻击尝试，这进一步加大了运营者尽快采取行动的压力。
有关2024年审计的说法也反映了软件维护面临的挑战。对共享软件的修改可能影响围绕其现有行为构建的应用。兼容性方面的顾虑会增加协调修复工作的难度，尤其是在一种编程语言支撑着大量不同网站和托管配置的情况下。
人工智能发现漏洞与独立安全研究
据报道，网络安全公司Calif使用一款被称为GPT-5.6 Sol的OpenAI模型发现了这些漏洞。据称，这些缺陷此前十多年都未被发现。
谷歌旗下网络安全公司Wiz据称也独立发现并提交了这两项漏洞。Wiz联合创始人Ami Luttwak称，这是利用人工智能发现的最严重漏洞，并表示若没有人工智能，要发现这些复杂漏洞将极为困难。
OpenAI表示，在此前两个月里，该公司一直协调研究人员和网络安全企业，以支持此次响应。该公司还预测，未来几个月利用人工智能发现类似漏洞的案例将大幅增加。
网站运营者眼下要做的仍是具体工作：确认已安装的软件、应用相应修复，并确保服务正常运行。人工智能参与漏洞发现为事件增添了新的方面，此外还有独立研究、开发人员协调和补丁分发等环节。
为何一些部门建议网站暂时离线
据报道，美国国家安全局敦促使用PHP的组织立即更新，并警告称，漏洞可能让攻击者访问服务器文件系统或数据库。如果无法立即更新，该机构建议在漏洞修复前让受影响系统暂时离线。
据报道，联邦调查局也发布了类似建议，警告远程代码执行可能导致敏感信息和网络暴露。一些荷兰和芬兰政府机构则采取预防措施，暂停了网站服务。
让网站离线会立即带来成本：访客无法使用网站提供的服务。对网店而言，这可能导致销售中断；对公共机构来说，则可能使信息或在线表格无法访问。这项建议反映出，在等待修复期间继续让存在风险的服务器对外开放可能造成严重后果。
Cloudflare表示，该公司正在更新防护措施，以应对相应攻击路径。网站运营者仍被建议安装PHP修复程序，将底层软件更新到安全响应中列出的版本。
运营者现在需要做什么
网站运营者应确认由谁管理PHP安装，并将其版本与KISA列出的更新要求进行对照。使用托管服务的组织需要让服务商确认服务器版本和更新安排；自行管理服务器的团队则需要直接处理更新。
运行WordPress的企业应将PHP运行环境纳入检查范围，并继续做好日常网站维护。PHP是位于内容管理系统底层的独立软件，因此仅了解WordPress版本并不足以掌握整个安装环境。
使用PHP 8.1或更早版本的运营者需要迁移到受支持版本。已经使用受影响分支的运营者，则需要更新到相应的修复版本，或适用的较新受支持版本。在更新过程中测试客户登录、订单查询和支付等关键功能，有助于及时发现服务问题。
要点
- KISA于2026年10月21日发布PHP安全更新建议，并指出CVE-2026-109618和CVE-2026-109619两项漏洞。
- 列出的更新版本要求为PHP 8.2.35、8.3.36、8.4.27和8.5.12。
- KISA建议PHP 8.1及更早版本的用户迁移到受支持版本。
- 所报告的风险包括攻击者无需登录即可远程执行代码。
- 韩国已联系安全网络成员以及依法必须指定CISO的企业。
- 韩国政府正在考虑为小型企业提供紧急补丁协助。
- 国际有关部门敦促用户更新；在无法立即安装补丁时，一些部门建议暂时关闭相关系统。
