应对核心PHP漏洞CVE-2026-109618和CVE-2026-109619 - 谷歌云

谷歌云近日就PHP核心运行时曝出的两个高危漏洞发布应急处置指引。这两个漏洞由安全研究机构Wiz Research发现，编号分别为CVE-2026-109618和CVE-2026-109619，CVSS严重性评分均为9.2分，属于最高等级的“严重”级别。攻击者可利用漏洞在未认证的情况下远程执行代码、读取内存数据，进而崩溃或劫持受影响的系统，窃取、篡改乃至清空数据。受影响的PHP版本覆盖5.4到8.5.11，官方已在PHP 8.5.12、8.4.27、8.3.36和8.2.35中完成修复，但8.1及更早版本已停止维护，不再提供补丁。谷歌云特别强调，谷歌云自身的基础设施不受影响，但在其平台上运行PHP应用的客户可能暴露在风险之中。 从技术细节看，两个漏洞都与PHP处理请求时的内存管理缺陷有关。CVE-2026-109618出在内存耗尽处理环节：当内部请求数据只完成部分初始化时，PHP可能被中断，随后的请求清理会把无效数据当作有效数据处理。CVE-2026-109619则涉及请求私有状态的释放时机：底层内存已被释放后，残留状态仍可能存活，同一工作进程处理的下一个请求可能在正常初始化重置之前就复用了这份过期状态。对跨境电商卖家而言，这意味着跑在PHP上的自建独立站、订单系统、后台管理面板，以及各类基于PHP的内容管理系统和LAMP环境，都存在被远程攻击的窗口。值得关注的是，谷歌在公告中披露，此次漏洞挖掘使用了多种AI模型协同参与，其中Gemini 4 Argon在漏洞发现、利用代码开发、攻击检测和补丁验证环节都发挥了关键作用，这也从侧面说明AI正在被攻防双方同时用作武器。 在处置层面，谷歌云要求所有在云上运行PHP应用的客户立即升级到PHP 8.2或更新版本，并用已打补丁的版本重新部署服务。具体到不同产品：App Engine标准环境的受支持运行时会自动打补丁，但仍在用PHP 8.1及更早版本的用户必须手动升级并重新部署；App Engine灵活环境需要按受支持的运行时重新部署，使用自定义运行时的则要更新PHP依赖后重新部署；Cloud Run若未开启基础镜像自动更新，或使用自建容器镜像，需用修复版PHP重新构建并部署；GKE集群需更新容器镜像并重启Pod；Cloud Marketplace上包含PHP的解决方案（如内容管理系统、LAMP栈）则要向方案提供商获取更新或直接升级PHP。与此同时，谷歌云正在为App Engine标准版与灵活版、Cloud Run、Cloud Run函数以及Firebase的Cloud Functions推送更新后的无服务器基础镜像，并为Cloud Armor防护和监控、打补丁、修复流程补充了额外指引。对于大量依赖PHP搭建店铺后台和业务系统的中国出海卖家来说，这次漏洞的影响面相当广，建议尽快排查自家技术栈的PHP版本，优先处理对外暴露的站点和接口。