美国政府确认，Web开发语言PHP存在两项高危安全漏洞，且已被用于实际网络攻击。相关漏洞可让攻击者在无需身份验证的情况下远程接管服务器，美国联邦机构已收到紧急修复指令。
据科技媒体TechCrunch 27日（当地时间）报道，美国网络安全与基础设施安全局（CISA）已将这两项被称为“PHP2Shell”的漏洞列入已知被利用漏洞（KEV）清单，并要求联邦民事机构在29日前完成修复。
此次涉及的漏洞编号分别为CVE-2026-109618和CVE-2026-109619。攻击者无需身份验证，即可在存在漏洞的服务器上执行恶意代码。鉴于PHP被全球大量网站广泛采用，一旦攻击范围扩大，可能导致关键服务中断或数据泄露。
PHP开发团队已于21日发布针对上述问题的安全更新。但在确认漏洞已被用于实际攻击后，政府和企业明显加快了应对节奏。部分机构和大型企业甚至一度暂停网站服务，以部署补丁。
报道称，此次漏洞源于一项长期未彻底消除的安全隐患。早在2024年的一次安全审计中，研究人员就已发现相关问题，但当时未能证实其可被实际利用，因此未进入修复流程。
今年，随着AI工具被用于漏洞研究，情况发生变化。安全公司Calypf的研究人员在AI模型辅助下，将多个既有缺陷串联利用，成功实现远程代码执行，随后向PHP开发团队进行了通报。
此后，安全研究人员部署的探测服务器也发现了真实的远程代码执行痕迹。不过，CISA并未披露攻击者身份，也未说明具体有哪些机构受到影响。
业内认为，这一事件再次表明，随着AI能力持续增强，过去难以利用的漏洞也可能演变为现实威胁。尤其是在人力和预算有限的开源项目中，安全治理问题再次引发关注。
PHP开发团队建议用户立即升级至已修复版本，包括8.5.12、8.4.27、8.3.36、8.2.35等。
记者信息
Choi Jae-won
ittt_0801@d-today.co.kr