PHP被曝两项严重安全漏洞，严重性评分均达9.2分，影响全球约75%的网站。日本反应最剧烈：银行、铁路、航空、政府部门集体关停服务，首相高市早苗亲自发文敦促打补丁。
75%
全球网站使用PHP（W3Techs数据）
9.2
两项漏洞严重性评分（满分10）
150万
台主机暂无可用修复方案（Censys）
PHP漏洞到底有多危险
1
漏洞位于PHP引擎底层
两个内存安全漏洞（CVE-2026-109618 / CVE-2026-109619）位于PHP核心层，攻击发生在应用代码运行之前，WAF防火墙规则无法拦截。
2
无需登录，数秒可接管服务器
攻击者发送特制POST请求即可触发内存破坏，获取服务器完全控制权，渗透文件系统或数据库。
3
补丁发布前已有攻击在野
据《连线》杂志报道，PHP发布补丁前黑客已尝试针对漏洞发动攻击。约150万台主机使用的版本暂无对应修复方案。
日本停摆全景：哪些服务关了
政府机构
财务省、厚生劳动省、国税厅、气象厅
关闭部分功能或暂停信息显示
金融
瑞穗、三菱日联、静冈银行、大和证券
暂停网上开户、部分线上业务
交通
JR东日本、JR西日本、阪神电铁、阪急电铁
官网信息暂停公开
航空
全日空（ANA）
暂停网站和App，含电子登机牌服务
"发现重大安全漏洞"，日本政府警告：尽快安装修复补丁
凤凰卫视
php 被曝严重漏洞，全世界都在紧急拔网线！欧洲多国政府网站关停，日本 pixiv、niconico 也紧急停机维护
小狗热聊科学探索
同一漏洞，为何日本受创最深
日本
大量系统运行老旧PHP版本，无法快速打补丁
银行、铁路IT系统高度依赖外包，升级决策链长
JR东日本此前已有约609万条用户信息外泄
用户无法开投资账户、调登机牌、访客服
其他国家
荷兰、芬兰政府网站关停后较快恢复
欧盟CERT、NSA、FBI发布指引后多数机构快速响应
韩国紧急为约3万家企业协调补丁支持
澳大利亚部分网站下线，整体响应有序
彭博社指出，日本受创格外突出，暴露其老旧数字基础设施长期存在的安全与升级难题。
结构性根因：不是第一次，也不会是最后次
基础设施老化，升级成本高
日本大型机构IT系统多为十余年前构建，PHP版本滞后，打补丁需经历多层审批，窗口期极短时只能选择关站。
AI加速了漏洞检测，防御窗口收窄
NICT指出AI简化了应用分析和漏洞检测流程；此次PHP漏洞也被指由AI在一周内挖出，攻击者与防御者的速度差正在拉大。
供应链风险层层扩散
软银子公司IDC Frontier云服务遭攻击后，罗森、第一兴商、JR东日本等多家下游企业相继受损，共计约609万条个人信息可能外泄。
日本近期数据泄露事件频发，与源于应用程序分析的服务器攻击有关
IT之家
藏了十年的php漏洞，AI一周挖出，全球约七成网站受影响，2200多万台服务器暴露在外
棉航航侃侃
官方怎么说
日本首相 高市早苗
请检查您对外公开的网站是否使用PHP，并准备尽快应用修复补丁。如果难以及时应用，暂时停用网站等措施可以被视为降低风险的有效方式。
10月21日 X平台发文
内阁官房长官 木原稔
截至目前，尚未确认有攻击者利用该PHP漏洞实施攻击，政府将密切关注事态发展并采取相应措施。
10月22日 例行记者会
Wiz安全公司
这是软件历史上最严重的漏洞之一。
漏洞发现方评估
PHP是什么，为什么让银行停服
Q
PHP是做什么的？
A
PHP是运行在服务器后台的编程语言，用户打开网页时，PHP负责组装页面内容再发给浏览器。WordPress、维基百科、Drupal、Magento均基于PHP构建。
Q
为什么75%网站受影响这么高？
A
PHP问世超30年，早已成为网站开发默认选项。W3Techs统计，在能识别服务器端语言的网站中，75%使用PHP，对应超3300万个网站。
Q
为什么银行要关站，而不是直接打补丁？
A
约150万台主机使用的PHP版本暂无修复方案；补丁在10月21日13:45 GMT才发布，在此之前关站是唯一能切断攻击路径的手段。
普通人需要做什么
运维/开发
立即检查服务器PHP版本，升级至PHP官方发布的四个安全版本之一；若无法立即修复，先将服务下线。
注意
这几天陌生链接别乱点，不在不熟悉的网站输入密码；部分服务可能仍处于维护停机状态。
国内用户
阿里云、腾讯云已发布安全警告并要求客户更新PHP；国内使用PHP的网站同样受影响，建议关注自用服务平台公告。
php最新漏洞远程代码执行漏洞 CVE-2026-109618复现，CVE-2026-109619复现
大龙说说软件