PHP重大漏洞致多国断网，Palo Alto全系系统受波及

10 月 21 日，开源服务器端语言 PHP 被曝出名为“PHP2Shell”的两个严重安全漏洞后，欧洲与日本多国政府网站紧急采取下线措施。网络安全巨头 Palo Alto Networks 随后确认，其旗下 PAN-OS 和 Panorama 的所有版本均受波及，目前尚未发布修复补丁。

这两个漏洞编号分别为 CVE-2026-109618 与 CVE-2026-109619，CVSS 评分均为 9.2 分。攻击者无需登录即可利用漏洞在服务器上远程执行代码。漏洞原定于 10 月 22 日披露，但因细节提前泄露，PHP 官方团队紧急提前发布了修复版本（8.5.12、8.4.27、8.3.36 和 8.2.35）。作为支撑全球约 70% 可识别后端网站的编程语言，PHP 的这一漏洞引发了剧烈震荡。

多国停服防御，监管发布紧急警告

德国、法国、比利时、荷兰、芬兰和捷克等国的政府网站一度暂时关闭。日本财务省与厚生劳动省暂停了部分网络服务，三菱日联金融集团（MUFG）也预防性地暂停了部分在线业务。

美国国家安全局（NSA）、联邦调查局（FBI）及网络安全和基础设施安全局（CISA）联合发出警告，敦促各机构若无法快速修补，应立即断开系统网络连接。FBI 要求各机构迅速清查运行 PHP 的资产，重点排查面向公网的系统及捆绑了 PHP 的相关产品。截至发布时，CISA 表示尚未观察到实质攻击。

Cloudflare 表示，其免费与付费 Web 应用防火墙（WAF）已在公开发布前 9 小时默认开启防护规则，但首席技术官 Dane Knecht 强调这只是临时防护手段，管理员必须尽快安装 PHP 官方更新。

网络设备厂商紧急排查

Palo Alto 将 PAN-OS 面临的风险评为“高”，并指出当管理接口暴露在公网时风险最大。在官方补丁发布前，公司建议管理员限制仅允许可信内部 IP 地址访问管理后台，并启用其威胁防御特征库。

其他网络设备巨头也在紧急应对：Fortinet 目前正在对 12 款产品进行调查，并已确认包括 FortiOS 在内的另外 12 款产品不受影响；Cisco 正在评估 31 款产品和云服务，尚未确认存在漏洞，但表示目前没有临时替代方案。

在野利用情况各方说法不一

本次漏洞由安全机构 Calif 与 Wiz 借助 AI 模型发现。Palo Alto 旗下 Unit 42 团队统计显示，全球有超过 2260 万个暴露在公网上的实例可能受到影响。

目前在野利用的态势尚不明朗。安全厂商 Hadrian 和 Patchstack 报告称，已检测到针对蜜罐系统之外的真实攻击；PHP 基金会执行董事 Elizabeth Barron 则表示，目前没有证据表明存在有效的攻击手段；但 Tolmo 安全研究员 Matt Suiche 表示其团队在不到一小时内就构建出了可运行的攻击验证代码。漏洞情报机构 VulnCheck 指出，目前公开的概念验证代码中仅有极少数采用了正确的利用机制。