日本 PHP 安全漏洞引发的服务停运达 1,090 起，服务恢复仍面临困难

数百项服务仍在等待恢复

日本对两项严重 PHP 安全漏洞的应对，导致至少 1,090 个网站和在线服务受到影响。截至 2026 年 10 月 26 日，仍有数百项服务尚未发布恢复运营的公告。随着运营方安装修复程序并检查系统能否安全重新连接，受影响的领域涵盖网购、金融账户手续、托育服务和游戏。

总部位于东京、提供云服务安全评估信息的 Assured 统计，截至 10 月 26 日下午 3 时，共有 1,090 项服务暂停。该机构的分析主要依据官方账号在 X 上发布的停运公告。总数较 10 月 23 日下午 2 时的 502 项增加 588 项，约三天内增幅约为 117%。

对于其中 465 项服务，Assured 尚未确认其已发布恢复运营公告，约占记录在案的停运服务总数的 43%。这些数据追踪的是公开公告，因此仍需向运营方确认这 465 项服务的最新状态。

万代南梦宫控股预计，一家销售玩具及其他商品的网店将在 10 月 27 日中午恢复营业。该网店自 10 月 21 日晚开始维护。包括《太鼓达人》在内的街机游戏仍暂停联网。大和证券的一些网站功能已恢复，但截至 10 月 26 日下午 5 时，开设 NISA 投资账户的申请以及地址变更等手续仍无法办理。

PHP2shell 漏洞的危害

日本信息技术推广机构（IPA）在 10 月 22 日发布的PHP 安全警报中，将这两项漏洞标记为 CVE-2026-109618 和 CVE-2026-109619。两者组合被称为 PHP2shell。PHP 是许多网站和网络应用使用的软件，负责在信息传送到用户浏览器之前处理服务器上的工作。

CVE-2026-109618 涉及 PHP 内存耗尽时的错误处理；CVE-2026-109619 则涉及对发送至服务器的请求进行处理。利用这些漏洞，远程攻击者可能执行任意代码，也就是运行由攻击者而非网站运营方选择的指令。

日本计算机应急响应协调中心（JPCERT/CC）表示，这些代码可能以 PHP 进程的权限运行。通俗地说，攻击者可能获得执行网站软件获准执行操作的能力。攻击者能造成多大影响，取决于受影响系统的权限和配置。

IPA 表示，机构应查看所用产品的开发者或提供商发布的信息，因为 PHP 可能是更大型应用或服务的一部分。JPCERT/CC 还警告，通过软件产品或 Linux 发行版提供的 PHP 也可能受到影响，因此供应商的指导也是应对工作的一部分。

服务停运如何扩大

服务运营方从 10 月 21 日起开始让系统下线，当时安全更新要到当晚约 11 时才会发布。部分运营方在更新发布前就采取了行动，因为漏洞细节公开后，攻击风险可能上升。

以下时间线显示，一次紧急软件更新如何演变为持续数日的服务中断：

• 10 月 21 日：BASE、Codmon、Pixiv、DMM.com、niconico 以及 Sakura Internet 的部分服务进入维护状态或暂停部分功能。包括《碧蓝幻想》和《赛马娘 Pretty Derby》在内的游戏也曾暂时停运。
• 10 月 21 日晚 9 时 55 分：首相高市早苗呼吁紧急做好应用补丁的准备，并表示，若难以立即安装补丁，暂时关闭网站也是一种选择。
• 10 月 21 日晚约 11 时：PHP 安全更新发布。
• 10 月 22 日：IPA 和 JPCERT/CC 发布警报，说明漏洞情况及建议采取的应对措施。
• 10 月 23 日：Assured 统计的停运服务达到 502 项。PHP 开发者还披露了另一项漏洞 CVE-2026-115560。
• 10 月 26 日：Assured 统计的停运服务总数达到 1,090 项；JPCERT/CC 更新警告，加入了有关漏洞利用尝试的报告。
• 10 月 27 日中午：万代南梦宫预计，其玩具及其他商品网店将恢复营业。

网站下线为何成为一种选择

日本国家网络安全办公室建议，如果运营方无法及时安装补丁，暂时关闭网站可以降低风险。高市早苗在 10 月 21 日的呼吁中也提到了这一选项。欧盟网络安全应急响应小组（CERT-EU）和英国国家网络安全中心也敦促采取行动，并提出在防护措施到位前让系统下线，作为可能的应对方式。

IPA 的指导列出了一系列应对选择。机构应先考虑采取临时防护措施和访问限制，同时安排更新或迁移。如果难以采取有效的临时措施，则应结合潜在损失和业务中断情况，评估是否阻止外部访问或暂停服务。

对用户而言，这意味着运营方开展相关工作的同时，日常功能也会无法使用。购物网站可能停止接受订单，金融网站可能暂停账户手续，街机也可能失去在线功能。

负责 Assured 调查工作的铃木康弘表示，越来越多的运营方选择暂停服务，以保护客户信息；服务迟迟未能恢复，也反映出安全重新开放的难度。他的判断点出了运营层面的核心难题：关闭访问可能很快，但要恢复服务，就必须先完成底层系统的相关工作。

安装补丁只是恢复服务的一部分

万代南梦宫的服务中断说明，同一企业集团旗下的服务恢复时间可能各不相同。集团预计其商品网店于 10 月 27 日恢复营业，而街机游戏的联网功能仍处于暂停状态。安装 PHP 补丁所需的系统更新需要时间。

一些服务也在考虑暂时将数据迁移到另一家已经确认安全的公司的服务器上。这会在团队处理受影响环境的同时改变服务的运行位置，客户恢复使用前还需完成另一系列准备工作。

截至 10 月 26 日，大和证券已恢复网站的部分功能，包括常见问题解答，但账户申请和地址变更仍无法办理。因此，信息页面虽然可以正常使用，客户业务手续却仍处于中断状态。

IPA 解释说，长期未更新的系统可能需要修改应用代码，并检查 PHP 更新后各项功能能否正常运行。开发文档缺失、没有熟悉系统的员工以及维护合同到期，都会增加工作难度。JPCERT/CC 建议充分测试，并尽快安装修复后的版本。

哪些版本需要处理？

IPA 和 JPCERT/CC 指出，针对最初两项漏洞发布的修复版 PHP 有四个：PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。这些版本分支中更早发布的版本均受到影响。运营方需要根据系统使用的 PHP 分支选择相应修复方案，并查阅软件或操作系统提供商的指导。

较旧的安装版本还带来另一项问题。IPA 引述网络安全公司 Wiz 的调查结果称，从 PHP 5.4 起的版本至少受到两项漏洞之一的影响。PHP 8.1 及更早版本已终止支持，不再享有受支持版本通常可获得的维护服务。

IPA 建议，在没有可用修复程序时，迁移到受支持的 PHP 版本，或改用已具备防护措施的产品和服务。JPCERT/CC 补充说，鉴于漏洞严重性，PHP 开发者已为 PHP 7.4、8.0 和 8.1 提供有限的缓解措施。

临时缓解措施可减少特定攻击途径带来的风险。JPCERT/CC 表示，修复原有漏洞的办法是更新软件，因此，即使机构采用了临时设置，仍需规划系统所需的软件更新或迁移。

攻击尝试加剧紧迫性

JPCERT/CC 在 10 月 26 日更新的PHP 漏洞公告中称，网上出现了大量声称能够利用这些漏洞的演示代码。该机构还提到，多次收到有人尝试利用漏洞的网络流量报告。

这类代码能否奏效，取决于 PHP 版本、执行环境和数据在内存中的排列方式等因素。JPCERT/CC 警告，针对特定环境的攻击方法和技术可能还会出现，并建议机构既要更新软件，也要调查系统是否可能已遭入侵。

其调查指导包括检查是否存在异常长或格式异常的 PHPSESSID cookie。这类 cookie 携带用于识别浏览器会话的信息。其他警示迹象还包括使用 multipart/form-data 格式（常用于上传文件）的可疑请求，尤其是请求发生在内存限制错误或表明服务器出现问题的 HTTP 500 错误前后。

PHP 工作进程意外崩溃或频繁重启，也是需要检查的问题。工作进程负责处理传入任务。JPCERT/CC 还建议检查可疑进程、外部通信和新创建的文件，并持续监控系统。如果怀疑系统已遭入侵，该机构建议保留日志和其他证据、调查受影响范围，并视需要隔离系统。

第三项漏洞需要更改设置

PHP 开发者于 10 月 23 日披露了 CVE-2026-115560，为应对工作增加了另一项任务。JPCERT/CC 表示，在特定配置设置与应用代码组合下，该漏洞可能允许攻击者执行任意代码。

开发者称，受影响的配置并不常见，并计划通过常规发布周期提供修复程序。在此之前，JPCERT/CC 转达了以下建议：将 session.upload_progress.enabled=0，并重启所有工作进程。该机构 10 月 26 日的更新未公布修复程序的发布日期。

此前，针对 CVE-2026-109619 的缓解建议也包括设置这一选项。公告称，已应用该设置的运营方无需重复这一步骤。团队检查系统时，仍需同时考虑最初的两项漏洞和这项新增问题。

部分机构面临更大的抉择

IPA 的建议不止于眼前的修复工作，还要求机构审视系统目前发挥的作用、使用频率，以及是否有其他服务可以取代它。对于长期缺乏维护的软件，恢复服务可能还需要决定今后由谁负责维护。

IPA 表示，业务管理人员和高管，以及技术人员，都应评估机构是否具备所需的人力、预算和维护安排，以完成更新或迁移并持续运营。如果具备这些条件，该机构建议进行更新，或迁移至受到保护的服务。

如果无法安排持续维护，IPA 列出了其他选项：迁移到有支持的产品、缩减功能、停止公众访问或退役系统。该机构还要求制定计划，保存或转移必要数据，并向用户说明替代安排。

眼下的实际难题，既包括安装特定 PHP 版本，也包括逐项恢复客户功能。万代南梦宫预计恢复网店运营，为服务恢复设定了一个时间点；而 Assured 统计的 465 项尚未确认恢复公告的服务，则显示截至 10 月 26 日，仍有大量服务的公开状态有待核实。

要点

• 截至 10 月 26 日下午 3 时，Assured 统计日本共有 1,090 项服务暂停，高于 10 月 23 日的 502 项。
• 465 项服务尚未确认发布恢复公告，约占总数的 43%。
• PHP2shell 漏洞可能使远程攻击者以 PHP 进程的权限运行代码。
• 针对最初两项漏洞发布的修复版为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。
• JPCERT/CC 警告，网上已有演示代码，并收到漏洞利用尝试的报告。
• 第三项漏洞需要暂时更改配置，并在修复程序准备期间重启所有工作进程。
• 万代南梦宫预计其商品网店于 10 月 27 日中午恢复营业；截至 10 月 26 日，部分街机联网功能和大和证券的手续仍处于暂停状态。