10月21日晚间，腾讯控股（00700.HK）旗下腾讯云发布PHP（超文本预处理器）远程代码执行漏洞风险通告，要求客户立即自查并升级修复。同日，谷歌（GOOG）旗下谷歌云也向客户发出紧急指引，敦促运行PHP应用的客户立即升级至PHP 8.2或更高版本，并使用已打补丁的镜像重新部署服务。

此次漏洞被编号为CVE-2026-109618和CVE-2026-109619，代号为“php2shell”。根据腾讯云安全通告，攻击者无需通过身份验证，即可利用特制网络请求触发内存破坏，进而在受影响的服务器上执行恶意代码。谷歌云则指出，两项漏洞的严重程度评分均达到9.2分（满分10分），属于严重级别。

巨大风险

公开资料显示，PHP是一种广泛应用于服务器端开发的开源脚本语言，常用于构建动态网站、内容管理系统及各类网络应用。

网站技术追踪机构W3Techs数据显示，截至2026年10月，PHP驱动着全球约70%的网站。例如WordPress、维基百科以及无数政府门户与电商后台等，均构建于这一开源语言之上。它通常运行在网站后台，负责处理用户请求、访问数据库并生成网页内容，因此其运行环境的安全性直接关系到相关应用的稳定性。

此次披露的两项漏洞，问题分别出在内存异常处理机制和请求之间的内部状态管理上。

腾讯云通告显示，CVE-2026-109618涉及PHP处理内存耗尽错误时的异常退出流程。在特定条件下，请求数据尚未完成初始化，程序便可能进入后续清理流程，最终造成内存破坏。CVE-2026-109619则与工作进程处理不同请求时未能充分清理此前遗留的内部状态有关，可能引发释放后使用等内存安全问题。

这意味着，攻击者在满足特定条件时，可能借助精心构造的请求突破应用原有的安全边界，进一步执行任意代码。潜在后果包括服务器遭到控制、敏感信息泄露、恶意软件植入以及业务服务中断。

另据谷歌云披露的信息，受影响范围涵盖PHP 5.4至8.5.11版本。官方已在PHP 8.2.35、8.3.36、8.4.27和8.5.12版本中提供修复。不过，PHP 8.1及更早版本已停止获得该项目的常规支持，相关用户不能简单等待旧版本补丁，而应评估升级至受支持版本的必要性。

AI发现

PHP作为免费开源软件，为全球互联网节省了巨额开发成本，但其安全维护的投入却高度依赖少数基金会资金与志愿开发者。网络安全媒体SecurityWeek 10月21日报道称，PHP基金会原计划按照协调披露流程发布漏洞信息，但相关细节提前泄露，促使维护团队提前推出修复版本。

亚马逊（AMZN）安全团队同日亦披露称，早在10月17日，其蜜罐系统就检测到针对相关漏洞的利用尝试。10月21日补丁发布前后，多家安全机构也观察到类似活动。不过，安全研究机构WatchTowr当时表示，尚未观察到成功利用的案例。出现攻击尝试并不等于服务器已经被攻陷，但意味着企业不能再将风险视为单纯的理论威胁。

漏洞发现过程同样引人关注。根据谷歌云和网络安全公司Wiz披露的信息，研究人员借助人工智能工具识别并分析了PHP底层代码中的安全缺陷，谷歌Gemini 4 Argon与OpenAI均参与了漏洞发现、攻击利用分析、攻击检测及补丁验证等工作。

不过，PHP基金会事后坦承，其中一个漏洞早在2024年便已被核心开发者察觉，但由于安全团队在修复方案上陷入分歧、资源匮乏，修补工作停滞数月。

来源：财中社