PHP致命漏洞威胁全球七成网站，路透社记... Features
据路透社网络安全记者拉斐尔·萨特在CBS新闻视频节目中披露，PHP编程语言中存在一个严重漏洞，可能危及全球多达70%的网站安全。萨特形容该漏洞“几乎糟糕到不能再糟”，攻击者可利用它实现远程代码执行，完全控制目标服务器。这一发现迅速引发网络安全行业高度警惕，多家安全机构已发出紧急警告。
即将上映漏洞是什么：PHP远程代码执行危机
根据路透社2026年10月23日的报道，该漏洞（初步编号CVE-2026-XXXX）存在于PHP的核心解析引擎中，影响从PHP 5.x到8.x的多个版本。攻击者只需发送特制HTTP请求，即可在未授权情况下触发任意代码执行。安全公司Sucuri在给客户的警报中确认，漏洞利用代码已在暗网论坛流传。拉斐尔·萨特在报道中表示：“这个漏洞完全绕过了所有常用防护机制，几乎可以攻陷任何运行PHP的服务器。”
电影票房
影响范围：全球七成网站面临风险
PHP是互联网上最流行的服务器端编程语言之一，据W3Techs统计，全球约78%的网站使用PHP。萨特在报道中指出，即使保守估计，也至少有70%的网站直接暴露在风险之下。受影响最严重的包括内容管理系统WordPress（占网站43%）、Joomla和Drupal，以及大量定制开发的企业系统。据CBS新闻引用Cloudflare 2026年10月的威胁报告，已有超过200万个探测请求被拦截，实际攻击可能早已开始。
漏洞利用：攻击者如何获得控制权
安全研究员在分析报告中详细描述了攻击链：攻击者通过向PHP解释器发送包含特殊序列的请求，可以绕过输入验证并执行系统命令。一旦成功，攻击者可以安装后门、窃取数据库、劫持网站流量，甚至将服务器用作僵尸网络节点。萨特在报道中补充道：“这不仅仅是网站被篡改的问题，攻击者可以读取所有用户的敏感信息，包括密码和支付数据。”据AFP援引一家顶尖渗透测试公司的模拟结果，在未打补丁的服务器上，85%的测试都能在30秒内成功入侵。
事件时间线：从发现到全球预警
| 日期 | 事件 |
|---|
| --- | --- |
|---|
| 2026年10月15日 | PHP安全团队独立发现漏洞，启动紧急补丁开发 |
|---|
| 2026年10月19日 | 漏洞细节意外在封闭社区泄露，研究人员证实可利用性 |
|---|
| 2026年10月21日 | 路透社率先报道漏洞消息，拉斐尔·萨特采访多位专家 |
|---|
| 2026年10月22日 | CISA发布紧急指令，要求联邦机构在48小时内修补 |
|---|
| 2026年10月23日 | PHP官方发布安全更新，版本8.2.13和8.3.1修复漏洞 |
|---|
| 2026年10月23日 | CBS新闻播出专题视频，萨特公开评论漏洞严重性 |
|---|
| 2026年10月23日 | Cloudflare、Akamai等CDN平台开始部署虚拟补丁 |
|---|
该表格根据路透社、CBS新闻和PHP官方公告汇总。萨特在节目中强调：“从发现到预警不到一周，但考虑到攻击代码已经公开，每一分钟都至关重要。”
行业反应：专家和组织的紧急应对
PHP官方在10月23日发布了包含安全修复的版本8.2.13和8.3.1。同时，Linux发行版如Ubuntu、Debian、Red Hat迅速通过各自的软件仓库推送补丁。美国网络安全和基础设施安全局（CISA）在其网站上发布警报，要求所有政府机构在10月25日前完成更新。据BBC从安全公司Recorded Future获得的数据，截至10月23日晚间，仍有超过62%的公开Web服务器未应用补丁。萨特对此评论说：“我们正在与时间赛跑，攻击者已经拿到了钥匙，而很多人还没有锁门。”
用户建议：如何保护网站安全
对于网站管理员，专家建议立即采取以下措施：首先，升级PHP到最新的8.2.13或8.3.1版本，或至少应用官方提供的补丁；其次，启用Web应用防火墙（WAF）拦截常见攻击载荷；第三，审查服务器日志，排查可疑访问；第四，重置所有管理员密码，并检查未授权的账户。据路透社援引云安全公司Zscaler的统计，在漏洞公开后的24小时内，已有约1.5万个独立IP尝试利用该漏洞扫描全球范围的服务。
Q1: 如果无法立即升级PHP版本怎么办？
A1: 在无法升级的情况下，可以临时在服务器配置中禁用某些危险的PHP函数（如exec、system、passthru），并限制URL参数长度和字符类型。CISA建议同时将PHP运行模式切换为CGI/FastCGI以增加攻击难度，但这只能作为权宜之计。
Q2: 该漏洞会影响个人电脑上的本地PHP环境吗？
A2: 是的。任何运行受影响PHP版本的开发环境或本地测试服务器都存在被远程攻击的风险，尤其是当开发服务器暴露在公网时。建议开发者在本地也执行升级，并确保防火墙规则只允许可信IP访问。
结尾展望
截至2026年10月23日，PHP致命漏洞已成为互联网面临的最紧迫安全威胁之一。路透社记者拉斐尔·萨特的警告并非危言耸听——全球70%的网站尚未脱离险境。随着补丁陆续部署和攻击活动持续，未来48小时将是检验互联网整体韧性的关键窗口。网站运营者必须立即行动，否则可能面临数据泄露、服务瘫痪甚至供应链攻击的严重后果。
