PHP 曝两项严重 RCE 漏洞致多国政府网站下线，官方承认修复延误两年属结构性失败

吴说获悉，据 PHP 基金会公告，广泛用于网站开发的 PHP 编程语言曝出两项严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS 4.0 评分均为 9.2 分，攻击者在特定条件下无需身份认证即可控制受影响服务器。事件导致荷兰、法国、德国、芬兰等多国政府网站及维基百科部分服务于 10 月 21 日临时下线。PHP 基金会承认，开发人员早在 2024 年就发现其中一项漏洞的早期迹象，但因技术决策分歧及安全团队资源不足，修复工作长期停滞，属于“结构性失败”。今年 8 月，安全公司 Calif 与 OpenAI 独立报告了同一底层问题，进一步揭示其远程代码执行风险。PHP 已紧急发布修复版本，并敦促网站运营方立即升级。