高II 网络战与关键基础设施2026年10月21日, 星期三
CISA要求无法打补丁的PHP系统下线
美国网络安全和基础设施安全局（CISA）10月21日就名为PHP2Shell的2个严重漏洞发出紧急补丁呼吁。无法打补丁，或仍在使用已停止支持的8.1及更早版本的机构，被要求将系统下线。
CISA 10月21日的警报称，CVE-2026-109618和CVE-2026-109619两个漏洞影响所有响应网页请求的PHP部署。攻击者无需认证即可远程执行代码。修复版本为PHP 8.5.12、8.4.27、8.3.36和8.2.35。据The Record报道，PHP将两个漏洞均评为9.2分（满分10分），属严重级别。补丁于10月21日美国东部时间10:00后陆续发布。
关于漏洞利用，各方说法不一。CISA称，截至警报发布时尚未观察到利用行为。据BleepingComputer报道，Cloudflare的技术总监证实，补丁发布前已出现针对两个漏洞的早期攻击。据The Record报道，watchTowr看到有人借助AI编写的概念验证工具发起尝试。但该公司表示，这些尝试尚未成功。
规模是问题的核心。BleepingComputer援引VirusTotal估计，联网的PHP服务器超过510万台。据The Record报道，Detectify称约一半PHP网站运行在已不再更新的旧版本上。10月21日，数百个网站下线，任天堂也在暂停服务的公司之列。发布警报的国家包括美国、德国、英国、荷兰、澳大利亚和日本。
这两个漏洞是约2个月前由Calif公司的研究人员借助OpenAI的工具发现的。前一天，即10月20日，CISA已将6个漏洞加入已知被利用漏洞目录（KEV）。其中4个属于Plex Media Server。另一个是SiteGuard网页应用防火墙中的命令注入漏洞，日本国家CERT也报告该漏洞已遭利用。
Talay 研判
结论
在首批大规模案例中，PHP2Shell显示AI发现漏洞的速度已超过补丁周期。约一半网站运行在不再获得补丁的版本上，风险将以月而非以天计。最可能的走向是，成功利用经由小型和疏于维护的网站扩散。这将扩大钓鱼和恶意软件分发的基础设施。
可能影响
- 小企业和政府网站负面1至6个月
已停止支持的8.1及更早版本没有补丁。这些网站只能在下线和被利用之间二选一。
- 托管服务商负面数周内
逾510万台暴露服务器，让共享主机服务商承担批量打补丁和服务中断的成本。
- 土耳其网络基础设施负面数周内
The Record 10月21日的警报名单中没有土耳其。运行已停止支持PHP版本的本地政府和电商网站同样暴露于该漏洞。
可能情形（按概率排序）
- 1利用广泛但影响较浅55%
成功攻击在疏于维护的网站上增多，大型机构迅速修补，不会出现系统性崩溃。
观察指标: CISA将两个PHP漏洞加入KEV目录
- 2大规模入侵连锁事件30%
攻击者经由一家托管商或常用内容管理系统批量入侵，随后披露数据泄露。
观察指标: 11月中旬前与PHP2Shell相关的大规模入侵通报
- 3迅速平息15%
补丁和临时WAF规则限制了漏洞利用，事件在数周内淡出。
观察指标: watchTowr和Cloudflare未报告成功的利用尝试
概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。
市场反应
受影响的指标
- 联网PHP服务器▲ 510万台以上
- 漏洞严重性评分▲ 9.2 / 10
- 10月20日新增KEV▲ 6个漏洞