PHP漏洞：10月22日警报区分修补与入侵调查
· BehindLines 编辑部
新西兰国家网络安全中心于10月22日更新了针对PHP两项严重漏洞的警报。该中心表示，已知悉有关漏洞正被利用的报告。此前，PHP项目已于10月21日发布修补版本。更新可供下载，与更新实际安装到服务器，是两个不同的步骤。
PHP常用于运行网站和网络应用。这两项漏洞的编号为CVE-2026-109618和CVE-2026-109619，可能使攻击者在受影响的服务器上，无需身份验证便可远程执行代码。不过，存在这种技术上的可能性，本身并不能证明某个具体网站已经遭到入侵。新西兰的这份警报没有提供全球受害者数量。
已公布的修补版本为PHP 8.5.12、8.4.27、8.3.36和8.2.35。PHP项目还提示，使用Linux发行版和长期维护服务的用户，应向供应商了解相应的软件包。PHP Foundation确认，两项问题涉及引擎内部运行机制，而修复所触及的机制并不容易修改。
警报涉及的范围，也不止由网站团队直接管理的网站。新西兰中心在10月22日上午10时20分补充说明，PHP的某些集成方式，包括防火墙或其他设备中的集成，需要单独评估，并按照供应商的具体要求修补。因此，主服务器完成更新，并不足以说明所有受影响组件都已得到处理。
对于面临风险的机构，该中心同时要求安装修补程序，并调查可能发生的未经授权访问。这两项工作回答的是不同问题：一是堵住现有漏洞，二是查明漏洞是否已经被利用。查阅的资料既无法确定攻击责任方，也无法衡量攻击规模。
本文在人工智能协助下撰写，已经核查。