PHP严重漏洞迫使欧洲多国政府网站紧急下线

PHP团队周二确认两处严重远程代码执行漏洞，周三发布补丁后欧洲多国政府仍预防性关闭大量公共服务网站。

荷兰议会网站Tweede Kamer、数字身份系统DigiD、政府门户MijnOverheid、国家网络安全中心NCSC以及鹿特丹港官网均已临时下线，芬兰政府信息技术中心Valtori自当地时间12:45起切断所有面向公众的政府互联网服务，比利时弗拉芒区政府网站与多所大学系统同步采取相同措施。

漏洞编号为CVE-2026-109618与CVE-2026-109619，均获CVSS v4.0评分9.2，攻击者无需登录即可在服务器上执行任意代码，影响范围覆盖PHP 5及以上版本，官方补丁仅覆盖8.2至8.5分支，旧版本已停止支持且无官方修复。

Cloudflare报告在补丁发布前已观测到早期攻击流量，并为其全部客户部署WAF临时规则作为过渡防护，安全机构CERT-EU、英国NCSC与澳大利亚ACSC均建议无法立即打补丁的机构隔离或下线相关系统。

W3Techs数据显示，在可识别服务器端语言的网站中约69%使用PHP，WordPress单独支撑全球约40%网站，此次事件直接波及荷兰多家医院、政党网站、大学与交通服务平台。

安全厂商与CDN服务商通过WAF规则与托管防护承接紧急流量，网站运营方被迫在停机成本与入侵风险之间选择，未及时更新的PHP 7及更早环境承压最大，攻击者正针对未防护实例进行探测。

来源：公开信息

ABAB AI 解读

PHP核心团队在2026年10月20日提前公告并在次日发布紧急补丁，这一节奏与2019年PHP 7系列曾出现的远程代码执行问题处理模式相近，当时攻击者同样在补丁窗口期对未更新实例进行利用，最终促使部分托管服务商强制升级客户环境。

Cloudflare在漏洞信息泄露后数小时内部署WAF规则并覆盖免费与付费客户，同时Wiz与其他安全公司参与协调披露，资源从漏洞研究快速转向防护产品与托管服务的临时增量需求，而大量仍运行PHP 7及更早版本的政府与中小企业系统则面临升级成本或下线决策。

与2021年Log4Shell事件类似，本次漏洞通过单一基础组件影响WordPress、Drupal、Magento等广泛部署的应用栈，当前行业处于攻击面控制阶段，安全厂商通过规则更新争夺防护市场份额，而传统PHP应用则加速向受支持版本或替代栈迁移。

本质属于产业链重构：核心语言的长期支持政策与大规模遗留部署之间的错配，在信息提前泄露后被放大，迫使依赖方在短时间内调整基础设施，而防护层供应商获得临时定价与绑定机会。

ABAB News · 认知定律