PHP重大漏洞曝光前4天已遭黑客利用

互联网的底层语言PHP正遭遇近年来最严重的一次安全危机。两个被统称为"PHP2Shell"的远程代码执行漏洞于本周二正式公开，但亚马逊威胁情报团队披露，黑客早在补丁发布前4天就已经开始尝试利用——漏洞细节疑似从保密渠道提前外泄。

亚马逊首席信息安全官CJ·摩西斯在安全博客中写道，公司蜜罐系统于10月17日捕获到一次利用尝试，比10月21日的官方补丁早了整整4天，攻击来源是一个与商业匿名网络相关的IP地址。他警告"PHP2Shell现已在野外被广泛利用"，目前仍不清楚攻击者如何提前拿到漏洞信息。概念验证代码则在官方披露前约12小时就已流出。

攻击攀升的速度惊人。据Cloudflare统计，漏洞公开前10小时攻击尝试已有数千次，公开45分钟后升至数万次，两小时内达到数十万次，随后累计突破数百万次。

这两个漏洞（CVE-2026-109618和CVE-2026-109619）的特别之处在于潜伏时间与发现方式。它们在PHP代码中已存在十多年，最早可追溯至5.4版本，过去曾两次被发现，都因为"无法证明可被利用"而未修复。今年8月，Alphabet旗下安全公司Wiz借助Google与OpenAI的前沿AI模型，把这一"理论缺陷"完整推导成了可执行的攻击链。

修复窗口正在被AI压缩。SentinelOne情报研究副总裁格雷罗-萨阿德指出，这一事件说明AI既在加速漏洞研究者的工作，也在增强攻击者把补丁变成武器的能力。"过去防御者依靠'存在漏洞'与'漏洞可被利用'之间的时间差争取修复机会，如今这个时间差正迅速消失。"

PHP驱动着全球约四分之三可识别编程语言的网站，WordPress、Drupal、Joomla等主流系统都构建其上。第三方扫描显示，超过510万台PHP主机暴露在公网，其中约150万台仍在运行没有补丁的版本。英国国家网络安全中心要求机构立即更新PHP服务器或暂时下线；荷兰已将自家网站、鹿特丹港与多家医院临时下线；维基百科、法国内政部也采取了类似措施。美国FBI与国家安全局相继发布警告。

PHP官方已发布8.5.12、8.4.27、8.3.36、8.2.35四个修复版本，敦促所有用户"立即更新"。安全机构同时提醒防御者：不要假设公开披露之日就是攻击的起点。