多重风险或加剧PHP高危漏洞威胁，360图龙锋开放免费安全体检

近日，PHP官方发布CVE-2026-109618、CVE-2026-109619高危漏洞补丁，为仍在官方维护周期内的PHP版本提供修复方案。360全网威胁监测数据显示，漏洞细节外泄后，针对该漏洞的在野利用现象已有出现。

从当前监测情况看，这一风险并非孤立存在。多重风险的叠加共振或将进一步加剧威胁风险：一方面，大量业务资产的补丁部署难以落地，修复窗口迟迟无法闭合，持续暴露可被利用的攻击面；另一方面，AI技术显著压低漏洞武器化门槛，使单点漏洞的破坏规模被进一步放大。

补丁落地受阻

存量资产形成安全债务

经360漏洞复现验证，该漏洞根源为PHP内核请求生命周期管理机制底层内存安全缺陷。在受影响版本及满足相应利用条件的部署环境中，攻击者无需身份认证，即可利用相关漏洞实现远程代码执行。

这种低门槛的攻击特性，意味着一旦资产无法完成补丁修复，就会直接暴露在攻击风险之下。

CVE-2026-109618、CVE-2026-109619

PHP 远程代码执行漏洞复现

全球大量Web业务依托PHP构建，多年信息化建设沉淀了海量历史资产。在实际运维场景中，补丁落地存在多重现实阻碍：一方面，业务稳定优先的前提下，很多运维团队顾虑版本升级带来的兼容性风险，缺少停机窗口与运维人力，补丁更新推进缓慢；

另一方面，全球近半数网站仍运行在PHP官方早已停止维护的老旧版本分支，在完成版本迁移前，就持续处于底层防护缺失的“裸奔”状态。即便上层应用做好安全加固，攻击者依然可能借助PHP内核缺陷实现远程代码执行。这类长期遗留的基础设施安全债务，不会随单次补丁发布自动消解。

AI重塑攻防

放大漏洞利用风险

实际上，早在今年8月，研究人员就已验证了该漏洞的攻击可行性，PHP维护团队随即组建跨机构联盟，在保密框架下将补丁开发列为最高优先级。

即便官方能够快速完成补丁筹备，攻防博弈的底层规则已被AI改写。复杂内存漏洞调试、攻击链构造等高难度工作被AI大幅简化，原本仅存在于顶尖安全实验室的研究成果，可快速转化为黑客批量复用的攻击手段，持续拉低高复杂度内核漏洞的利用门槛，这也是本次漏洞披露后在野利用快速扩散的核心原因。

更值得警惕的是，伴随AI自动化漏洞挖掘能力的普及，潜藏在各类基础软件中的底层内存缺陷将被持续发掘，未来同类高危内核漏洞披露或将迎来高发周期，基础软件安全压力将持续传导至政企各类Web业务。

面对当前日益严峻的漏洞威胁，360现已开放图龙锋免费安全体检能力，帮助政企机构快速开展全域资产测绘与漏洞自查。

作为360自研AI安全攻防系统，图龙锋践行“以 AI对抗AI”的安全思路，依托安全大模型与智能体蜂群能力，打通漏洞挖掘、复现验证、风险研判、情报输出全链路。

在本次PHP2Shell事件处置过程中，系统高效完成漏洞复现、原理剖析、攻击链路验证与全网攻击态势持续追踪，第一时间输出漏洞预警、技术分析与处置指引，帮助各类组织提前识别并处置底层软件内存类高危漏洞。

专项支持期间，企业用户通过图龙锋SaaS版上传经授权的PHP项目源码、相关运行库或软件安装包，由图龙锋开展智能安全检测，协助识别PHP2Shell相关漏洞风险及其他潜在安全隐患。同时，企业还应结合实际部署环境、PHP运行版本及补丁状态开展综合核查，及时完成安全更新。