“这不是演习”：PHP严重漏洞正引发互联网危机

全球网络安全团队正在紧急应对一场可能波及数百万网站的安全危机。本周三，PHP官方开发团队发布了紧急安全补丁，修复两个被评定为“严重”级别的漏洞——CVE-2026-109618和CVE-2026-109619。这两个漏洞影响自2004年PHP 5发布以来“所有处理Web请求的PHP安装实例”，但官方只会为仍受支持的PHP 8.2及以上版本提供补丁。PHP基金会措辞罕见严厉：“没有完整的缓解措施，升级是唯一安全的选择。”独立安全顾问、伦敦国王学院客座高级研究员卢卡什·奥莱尼克直言：“这不是演习。” PHP之所以牵动整个互联网的神经，在于它的覆盖面实在太广。从WordPress、Drupal这类内容管理系统，到Adobe旗下Magento这样的电商平台，大量网站和软件底层都跑着PHP。奥莱尼克将其比作互联网的关键基础设施，认为最坏情况下可能出现“蠕虫式恶意软件席卷大半个互联网”。更棘手的是，这类基础软件往往藏在老旧的历史IT设施里，被遗忘、长期不更新，成为攻击者的突破口。Cloudflare透露，在PHP基金会公布漏洞详情和补丁之前，就已经观察到早期攻击迹象；安全公司Sansec在补丁发布前预测“大规模攻击会在发布后15分钟内开始”。事实上，补丁上线前已有机构采取预防措施——芬兰政府多个网站（包括国家土地测量局）一度无法访问，法国政府网站和鹿特丹港官网也据报下线。 对跨境电商卖家而言，这件事的直接风险在于：如果你的独立站、自建商城或后台系统跑在PHP上（尤其是WordPress+WooCommerce、Magento这类常见组合），而服务器又没及时打补丁，攻击者无需知道你的网站是什么、跑什么软件，只要向服务器发送一个精心构造的上传请求，就可能远程执行代码、读取敏感内存数据——用安全合规顾问达维·奥滕海默的话说，“就像一个没上锁的前门”。值得注意的是，谷歌旗下安全公司Wiz称其研究人员部分借助AI工具发现了这些漏洞，OpenAI和Calif也独立发现了问题并展开合作；奥莱尼克则提醒，AI同样会让漏洞利用变得“以分钟计”地迅速。对卖家的建议很明确：立即确认主机服务商或技术团队是否已升级到PHP 8.2以上版本，检查WordPress、Magento等系统的安全公告，在补丁到位前避免暴露不必要的上传接口。