阿波罗网王笃若报导/全球网站拉警报！PHP爆两大致命漏洞 黑客不用登录就能远程接管服务器
全球上千万网站赖以运转的PHP程序语言，出大事了。
PHP官方10月21日发布安全公告，紧急推出PHP 8.5.12、8.4.27、8.3.36和8.2.35四个版本，修补两个“严重”级别的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），严重程度评分高达9.2分（满分10分）。官方的说法很直接：所有PHP用户“强烈建议立即更新”，而且“没有完整的缓解办法，更新是唯一安全的选择”。
不用密码，请求一到就中招
这两个漏洞可怕在哪？攻击者不需要任何账号密码，只要往服务器发一个请求，就可能在上面执行恶意代码，接下来篡改网页、偷数据，想干什么都行。
受威胁的范围几乎覆盖所有对外提供网页服务的PHP环境，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。官方点名风险最高的是mod_php，已有演示攻击证明，恶意请求在网站程序还没开始跑之前，就能把攻击触发。
有安全研究人员估计，全球可能有超过130万台联网主机受影响。部分网络安全机构甚至建议，网站如果没法马上打补丁，干脆先停机，免得被黑。
老版本没人管了
更麻烦的是一大批还在跑旧版本的网站。官方明确表示，PHP 8.1及更早版本已不再获得官方更新。考虑到漏洞太严重，PHP安全团队破例为7.4、8.0、8.1提供了最基本的源码补丁，给自行编译或找不到长期支持厂商的用户救急；其他人只能找Linux发行版或长期支持厂商要补丁，或者干脆升级。
WordPress站长别以为自动更新就没事
WordPress网站安全插件供应商Wordfence也发出警告：WordPress全部跑在PHP上，而WordPress去年说过，全球超过40%的网站是用它搭的，这次波及的网站数量可想而知。Wordfence提醒，这个补丁靠WordPress自己的自动更新是装不上的，站长必须确认主机商有没有更新PHP，或者自己动手。
普通人会受影响吗？
会，但多半是间接的。最常见的情况是常用的网站突然登不上、买不了东西，因为网站临时关站抢修。如果黑客攻进了没打补丁的网站，会员个资可能外泄，网页也可能被塞进恶意链接或诈骗内容。
这次漏洞主要打的是网站服务器，普通用户守住基本习惯就好：不点可疑链接；网站一旦行为异常，别输入账号密码和信用卡；收到个资外泄通知，赶紧改密码。
（路透社资料照片）
