美国国家安全局警告 PHP 存在两处高危漏洞并呼吁立即更新

美国国家安全局（NSA）警告称，PHP 编程语言中存在两处高危漏洞，可能允许攻击者远程执行命令并控制网站和应用的服务器，据伊拉克通讯社转述的报告。

报告指出，该警告于周三发布，将两处漏洞标记为 CVE-2026-109618 和 CVE-2026-109619，评分为 9.2（满分 10），并强调风险在于这些漏洞存在于 PHP 语言本身，而非某些插件或特定内容管理系统。

报告警告称，利用这两处漏洞可能导致访问敏感数据，例如密码、令牌和 API 密钥，也可能篡改网站内容并获取用户信息。

安全测试显示，这两处漏洞可在运行 WordPress、Drupal 和 Joomla 等内容管理系统的环境中被利用，尽管漏洞并不位于这些系统本身，而是存在于它们所依赖的编程语言 PHP 中。

报告指出，漏洞的发现由多支专业研究团队合作完成，其中包括卡利夫和韦兹两家公司，并与 PHP 开发团队及 OpenAI 公司合作，报告称人工智能工具在分析编程错误和识别可利用路径方面发挥了作用。

报告补充称，导致这两处漏洞的一些错误可追溯到十多年前，但由于利用这些漏洞的复杂性，早期未能发现其危险性。

PHP 开发团队已发布紧急安全更新以修补这两处漏洞，涉及版本 8.5.12、8.4.27、8.3.36 和 8.2.35，报告呼吁机构和网站所有者立即安装这些更新，并警告称临时防护措施无法提供完全保护。