北京
Cloudflare 表示，已经监测到针对两个 PHP 高危漏洞的早期利用尝试。这两个漏洞的细节在 PHP 安全团队原定发布补丁之前就已流出。Cloudflare 已部署首批 Web 应用防火墙（WAF）规则，用于拦截已知的攻击模式。
这些规则对所有客户开放，包括免费套餐用户。Cloudflare 称会随着新攻击模式的出现持续更新规则。对运行 PHP 网站的团队来说，这条警告把紧迫感提前了，但防火墙规则只是一层临时防护。
Cloudflare 首席技术官 Dane Knecht 的建议很直接：等 PHP 发布安全更新后，尽快打补丁。按目前的安排，该版本计划于 10 月 21 日 14:00 UTC 发布。
公开报告将这两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619。PHP 安全团队对两者均给出 critical 评级，CVSS v4.0 评分为 9.2。研究人员和安全报告将其描述为远程代码执行漏洞——这类漏洞可能让攻击者在受影响的服务器上运行代码。
但 PHP 尚未公布完整技术细节，包括受影响组件、精确攻击路径，以及已确认的受影响版本。
信息在计划披露和安全更新之前就已公开。泄露发生后，PHP 团队宣布了更早的发布日期，并表示如果技术细节进一步公开，或发现活跃利用的证据，可能再次提前发布。Cloudflare 的警告意味着利用尝试正在出现，不过该公司没有分享可供评估其规模或成功率的证据和细节。
WAF 的作用是检查 Web 请求，拦截匹配已知有害模式的流量。在管理员准备更新期间，这些规则能降低暴露面，但无法替代对 PHP 底层代码的修复。
新的 PHP2Shell 攻击模式也可能绕过针对已知请求编写的规则。Cloudflare 表示正在随新攻击向量的出现调整防护，但同时把这些规则定性为权宜之计。
对组织而言，需要先摸清所有面向互联网、运行 PHP 的系统，包括用内容管理系统搭建的站点，以及自带 PHP 运行时的软件。管理员应关注 PHP 官方安全公告，以及操作系统或托管服务商的更新渠道。
修复版本可用后，应核对受影响版本并尽快应用正确的更新。团队还应确认 WAF 已启用，相关规则设置为拦截而非仅记录可疑请求——这也是 Cloudflare 对付费客户的建议。
打完补丁后，防守方应检查 Web 服务器和 PHP 日志中的异常请求，并确认 PHP 工作进程是否启动了预期之外的程序。安全团队应调查可疑活动，而不是因为 WAF 拦截过就假定系统从未被触及。如果服务器出现失陷迹象，保留日志并按组织的应急响应流程处理。
这起事件也说明，漏洞披露泄露会压缩防守方的准备时间。PHP 在网站和托管服务中的广泛使用，意味着管理员可能需要到主应用清单之外去寻找运行时。
有报告称这些漏洞可能影响较旧的 PHP 版本，但官方受影响版本列表仍未公布，组织不宜依赖初步说法。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
