严重PHP漏洞在补丁发布数日前已遭利用

据亚马逊威胁情报部门的报告，黑客在PHP漏洞修复数日前就已尝试加以利用，这些漏洞影响全网大量网站。亚马逊首席信息安全官CJ Moses撰文称，公司安全团队于10月17日通过一套用于诱捕黑客的监控系统发现了一次PHP2Shell攻击尝试，《连线》和Bleeping Computer此前已对此进行报道。本周三，各网站紧急为PHP的两个严重安全漏洞安装补丁。PHP是互联网上大量网站使用的编程语言，WordPress网站也包括在内。这两个漏洞编号为CVE-2026-109618和CVE-2026-109619，可能让黑客在存在漏洞的设备上远程执行恶意代码。PHP基金会执行董事伊丽莎白·巴伦对The Verge表示，据其所知，目前尚无成功实现远程代码执行的案例，但强调更新受影响系统“势在必行”。PHP基金会早在2024年就从理论上推断出这一缺陷，其安全团队虽提出了可能的解决方案，但修复因会破坏向后兼容、带来新的拒绝服务风险，或需要改动大量第三方扩展而难以协调等原因被推迟。本周基金会准备发布修复时，漏洞细节开始在论坛和社交媒体上流出，一些安全公司还在正式发布前公开了相关信息。亚马逊的报告则表明，可能有恶意行为者在细节泄露前就已发现该漏洞。Moses写道，在漏洞仍处于保密期时，来自匿名IP地址的蜜罐攻击表明这是威胁行为者所为，但尚不清楚其如何在披露前获得利用信息。亚马逊威胁情报部门还在10月21日补丁发布前的数小时内发现了其他多次利用尝试。PHP基金会表示，正在调整流程，让修复陷入艰难权衡的严重漏洞更早上报至领导层，并优先采取措施，确保今后需要类似复杂修复的漏洞能更快得到解决。