核心要点
– 2 个 PHP 漏洞 CVSS v4.0 均 9.2，未认证可执行代码
– 补丁从 10 月 22 日提前到 10 月 21 日 14:00 UTC
– 修复版本 8.5.12、8.4.27、8.3.36、8.2.35
– 荷兰鹿特丹港等欧洲多国政府网站预防性下线
– 乐天 22:00 停卖家后台，雅虎和亚马逊日本未停机
10 月 21 日 14:00 UTC，PHP 团队同时放出四个补丁版本。8.5.12、8.4.27、8.3.36、8.2.35，对应两个 CVSS v4.0 都是 9.2 的严重漏洞。
CVE-2026-109618 和 CVE-2026-109619 都在 PHP 引擎内部，不在 WordPress、Drupal 或任何插件里。未认证的攻击者发一个请求，就可能在服务器上执行自己的命令。
同一天，欧洲多国政府网站主动下线，鹿特丹港官网也在其中。日本电商平台乐天当晚停掉卖家后台访问。这些不是被攻破，是运营方自己按停的。
补丁提前一天：细节先泄露，利用先动手
原定时间是 10 月 22 日 18:00 CEST 解除信息封锁。10 月 20 日，漏洞信息在 Hacker News 被人发帖爆料，截图随后在 X 和 Mastodon 流传。
PHP 团队在预告里留了口子。细节公开或出现实际利用迹象，就可能提前。10 月 21 日，修复版本提前发布。
漏洞的来历更长。据 OpenAI 披露，8 月 11 日由合作的网络安全研究团队借助 AI 模型发现并报告，Wiz 于 8 月 24 日独立发现并提交报告。代码里的问题存在了十多年。
《The Register》10 月 22 日报道，亚马逊网络威胁情报团队在 10 月 17 日就发现有人在尝试利用，比公开早了 4 天。
Cloudflare CEO Matthew Prince 在 X 上给了一组数字。公开前 10 小时已有数千次尝试，公开后 45 分钟涨到数万次，2 小时内数十万次，目前是数百万次。
两个漏洞在哪一层
一个是内存耗尽路径。PHP 用 longjmp 处理 OOM。如果分配失败发生在请求数据只初始化了一半的时候，提前退出会留下无效数据。请求清理流程随后把它当成有效数据用，就成了 RCE。多个 multipart 解析行为都能在正常 PHP 内存限制内触发 OOM。
一个是全局状态残留。请求级的全局状态可能在承载它的内存被释放后还活着。同一 worker 后面处理的请求，在正常初始化重置它之前就用上了。已确认的两条消费路径，是请求初始化之前就抛出的 INI 诊断信息，以及 session 上传进度处理。
受影响范围是所有对外提供 web 请求的 PHP 安装。PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 全在其中。
官方把 mod_php 列为最高风险。已有演示证明，一个未认证请求能在任何应用代码运行之前触发攻击。
官方一句话把话说死了。没有完整缓解方案，升级是唯一安全选择。配置层的手段只降低特定攻击路径的暴露，不让安装变安全。
版本现实是另一层压力。PHP 8.1 及更早已停止维护，官方不再出正式补丁，只在源码分支上提供 7.4、8.0、8.1 的最小回移植。8.2 将在 2026 年 12 月 31 日结束生命周期。
下线的不是港口，是网站
| 地区 | 下线或受限的系统 | 官方口径 |
|---|---|---|
| 荷兰 | 鹿特丹港官网、Overheid.nl、NCSC-NL、荷兰议会、DigiD、KNVB、五大政党网站、多家医院 | 预防性下线 |
| 芬兰 | Valtori 管理的政府公众网络服务 | 未发现利用，非数据泄露 |
| 比利时 | 外交部网站 | 网络安全中心记录无攻击 |
| 德国 | ITZBund 运营的联邦政府部分站点 | 纯预防，无已知安全事件 |
| 奥地利、德国 | 维也纳大学、弗莱堡大学 | 预防性下线 |
| 英国 | 预算责任办公室 | 按 NCSC 建议下线 |
这一段有个容易被误读的地方。鹿特丹港官网下线，指的是对外网站不可访问。码头作业、订舱系统、单证和清关通道是另外的通道。订舱和放行要单独确认，别拿官网打不打开当港口停摆的判断依据。
各国口径一致。芬兰 Valtori 明说，没有发现利用尝试，中断不是数据泄露造成的。比利时外交部因为有攻击报告关掉外网，但该国网络安全中心记录显示，比利时网站没有遭到攻击。
英国那边，NCSC 在 21 日发布警报，建议无法及时升级的机构考虑暂时下线。英国预算责任办公室照做了。
自建站和托管站不是一回事
对卖家来说，先分清你的站在谁手里。
Shopify 这类托管平台，PHP 版本由平台统一管。你看不到引擎版本，也不用管重启 worker 这类动作。
用 WordPress、WooCommerce、Magento 自建的独立站，引擎版本就是自己的事。而且 WordPress 自动更新不覆盖这个修复，Wordfence 明确说了这一点。要确认三件事：当前版本号、这台机器谁在管、补丁什么时候能上。装在共享主机上的，PHP 通常由主机服务商维护，但仍要主动问一句打没打。
站内那篇独立站建站平台选型算过平台的隐性成本，这里补一条：还有一条是安全运维成本。托管平台把这一块打包进月费，自建站得自己扛。
另一个角度看同一件事。AI 过去两年重做的是选品、内容、投放、客服这些环节，跨境电商 AI 工具链选型那篇算过工具组合和月成本。这次事件把另一面摊开了。发现漏洞用了 AI，批量扫描利用也用 AI。
主编判断一句：这次被压缩的不是修复时间，是你的准备时间。以前你有几周做资产盘点，这次只有几个小时。工具链越长的团队，这几个小时越不够用。
乐天那一夜，和没停机的平台
日本这次反应最快。
首相高市早苗 21 日晚在 X 发帖，要求网站运营方尽快检查是否用了 PHP、准备打补丁。她自己的议员网站当晚下线，次日上午恢复。
乐天集团对乐天市场做了紧急检查。按出海网援引日媒的报道，乐天约 22:00 停止卖家后台访问，23:00 前后停止前台展示。用户仍可搜索下单，首页挂着”系统维护”提示。手工类平台 Creema 同样宣布维护，多款游戏和关联服务紧急维护。
日本雅虎和亚马逊日本没有停机，页面正常。
差别在哪。自建站的团队要自己决定打不打、什么时候打、停多久。托管平台在后台统一处置，用户看到的是公告，不是空白页。
落到卖家身上有两条。一是如果你的日本站后台在 21 日晚到 22 日晚之间登不上，先确认是不是平台侧维护，别急着改密码。二是有客户问起网站打不开，给一个明确时间点，比含糊解释更能留住人。
乐天这次停的是卖家后台，前台展示也压了几小时。乐天的开店成本、积分促销和评分限流那套规则，可以回看站内乐天开店费用与店铺评分规则那篇。
参考文章
- 《Security advisory: Critical remote code execution vulnerabilities, update now》｜PHP｜https://www.php.net/archive/2026.php#2026-10-21-5
- 《PHP高危漏洞日本紧急维护 乐天等电商平台停机》｜出海网｜https://www.chwang.com/news/211315243693
- 《Critical PHP flaws prompt shutdowns of government websites across Europe》｜新华网英文网｜https://english.news.cn/20261022/bba9b3ebcc1d419ab72f923d3a5f260d/c.html
- 《PHP重大漏洞致日本多网站暂停服务》｜新华网｜https://www.news.cn/world/20261022/1763f3d8bdbf4fbba4d64453427eca35/c.html
- 《Factbox-Websites taken offline over PHP risks》｜The Star｜https://www.thestar.com.my/tech/tech-news/2026/10/21/factbox-websites-taken-offline-over-php-risks
- 《Websites worldwide taken offline as AI finds ‘critical’ security flaw》｜The Star｜https://www.thestar.com.my/tech/tech-news/2026/10/22/websites-worldwide-taken-offline-as-ai-finds-critical-security-flaw
- 《Hacking attempts surge as companies, governments rush to patch PHP flaws》｜The Korea Herald｜https://www.koreaherald.com/article/10912068
- 《PHP Critical Remote Code Execution Vulnerabilities》｜Kudelski Security Research Center｜https://kudelskisecurity.com/research/php-critical-remote-code-execution-vulnerabilities
FAQ
这是不是意味着我的订单数据泄露了？
不是。这是底层语言级漏洞，不是某个平台被攻破。各国官方口径都是预防性下线，未确认发生攻击。攻击尝试不等于攻破成功。
听说评分是 10 分，官方为什么说 9.2？
泄露的截图和 Hacker News 帖子写的是 10.0。PHP 官方公告给的是 CVSS v4.0 9.2。按官方数字算。
我用共享主机，需要做什么？
PHP 通常由主机服务商维护。仍要主动问一句是否已部署修复，并确认站点跑的 PHP 版本。服务商短期给不了版本，按官方建议考虑隔离或暂时下线。
升到最新版就完全安全了吗？
补丁是完整的修复，但已被入侵过的机器不会因为升级就干净。要查后门：网站目录里的异常文件、计划任务、PHP 进程派生的可疑子进程。
原创文章，作者：跨境头条编辑部，如若转载，请注明出处：https://www.tokenfff.com/php-rce-port-site-outage-2026/
