PHP基金会承认决策失误延误修复严重漏洞

PHP 基金会公开承认，在修复 PHP 编程语言中两个严重漏洞的过程中，相关延误构成了“结构性失败”。此前，官方已发布紧急补丁，多国政府部门因潜在风险预防性地下线了相关网站。

根据该基金会的说明，一名研究人员早在 2024 年就发现了其中一个漏洞的最初迹象。但当时并未发现具体的利用途径，开发团队因此优先处理了其他影响更明确的问题。

修复方案停滞数月

PHP 基金会安全团队此前提出了几种相互竞争的修复方案，但各具代价：有的破坏了向后兼容性，有的引入了新的拒绝服务风险，还有的需要修改大量第三方扩展。团队采用协商一致的决策机制，由于担忧选错方案引发不良连锁反应，修复工作陷入犹豫。

由于此前未发现远程代码执行的路径，且熟悉底层引擎的核心开发者承担过多其他职责，修复工作在数月内断断续续停滞。基金会直言，这次延误是由安全团队的决策流程与资源匮乏共同造成的结构性问题。

危机在 8 月 11 日升级。安全公司 Calif 与 OpenAI 独立提交了相同的根因报告，Calif 更进一步证明了可以在无条件限制下实现远程代码执行。此后，PHP 基金会将安全决策机制从协商一致改为多数票表决，并新聘用了两名工程师。基金会同时呼吁依赖 PHP 的企业与政府协助承担安全开发成本。由于漏洞标识符提前在网络泄露，官方将发布时间提前了一天，并批评了在协调披露完成前提前发布镜像的厂商。

全球网站紧急下线排查

这组被称作“PHP2Shell”的漏洞编号为 CVE-2026-109618 和 CVE-2026-109619。官方已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中进行了修复。处理 Web 请求的所有 PHP 实例均可能受到波及。

美国、英国、加拿大、澳大利亚及欧盟的网络安全机构均建议网站运营方在完成更新前下线服务。安全专家评估，近 70% 的网站需要应用补丁。

荷兰一度关闭了其数字身份认证服务，芬兰国家 IT 提供商 Valtori 断开了公共网络服务连接，法国部分省份网站也临时下线。维基媒体基金会关闭了部分支撑服务。美国网络安全和基础设施安全局（CISA）表示，发布安全公告时尚未监测到针对这些漏洞的实际利用，但警告若不尽快修补，将对各类组织带来严重风险。