肯尼亚政府10月21日要求各机构为网站修补PHP两个严重漏洞

肯尼亚信息通信和数字经济国务秘书处（State Department for ICT and the Digital Economy）与肯尼亚信息通信技术局（ICT Authority，ICTA）向各部委、部门和机构发出通告，要求它们排查自己运行PHP的网站、网络应用和服务器，安装PHP项目10月21日发布的安全更新。无法及时加固的系统，应考虑限制外部访问，或者暂时下线。

据肯尼亚科技网站《科技趋势》（TechTrends Kenya）10月22日报道，通告落款日期为10月21日，由信息、通信和数字经济部（Ministry of Information, Communications and the Digital Economy）通过上述两个机构发出。《星报》（The Star）当天也报道了这份通告。通告说，PHP在网络系统中用得很广，这两个漏洞“可能对政府信息系统和在线公共服务的保密性、完整性和可用性构成重大风险”。

PHP是一种广泛使用的编程语言，网站、网络应用和数字公共服务平台都靠它运行。所谓“漏洞”，是软件里能被攻击者利用的缺陷；“补丁”就是堵上缺陷的安全更新。

PHP项目10月21日发布的安全公告说，PHP 8.5.12、8.4.27、8.3.36和8.2.35四个版本修复了两个严重漏洞。这两个漏洞可能让攻击者在“未经身份验证”的情况下远程执行代码，也就是不用登录，就能让服务器运行攻击者想运行的程序。公告“强烈建议所有PHP用户立即更新”。PHP项目10月20日发出的预告说，两个漏洞按通用漏洞评分系统（CVSS）第4.0版评分均为9.2分。

第一个漏洞编号CVE-2026-109618，出在PHP处理内存耗尽的环节：程序可能在请求数据只初始化了一部分时被打断，随后的清理步骤会把这些无效数据当成有效数据。第二个漏洞编号CVE-2026-109619，某次请求的内部状态在内存已被释放后仍然残留，同一个工作进程处理的下一个请求，可能在正常初始化之前就用到它。这两个漏洞被统称为“php2shell”。

PHP项目说，所有处理网络请求的PHP部署都有风险，包括PHP-FPM、带mod_php模块的Apache、php-cgi、FrankenPHP和LiteSpeed。其中mod_php风险最高，项目方已有演示攻击：一个未经身份验证的请求，就能在任何应用代码运行之前触发攻击。

PHP 8.1及更早版本已经不再获得PHP项目的更新。鉴于漏洞严重，PHP安全团队为PHP 7.4、8.0和8.1提供了最简化的源代码补丁，部分发行版和长期支持服务商也提供移植修复。对暂时无法更新的用户，PHP项目列出了一些配置调整，但说这些措施只能减少特定的攻击途径，“不能保证PHP部署安全”。

肯尼亚的通告要求各机构优先处理面向互联网的网站、网络应用和服务器；检查第三方应用、托管平台和托管服务里有没有存在漏洞的组件；按照PHP官方安全公告和供应商的通告，核实受影响的版本和修复方法。只更新网站的主题、插件或应用代码，修不好PHP运行环境本身的漏洞，管理员还要确认正在运行的服务确实已经更新。

各机构还要检查网页服务器、应用、终端和网络日志，留意异常请求、未授权访问、意外的文件改动和可疑进程。加强网络应用防火墙规则和访问控制只是临时手段，不能代替官方更新。各机构的信息通信技术主管和系统管理员要记录采取的措施，上报高风险的暴露点；暂时无法修补的，要写明剩余风险、补偿措施和预计修复时间。怀疑发生安全事件时，要保全证据，并通过政府网络安全渠道报告。肯尼亚信息通信技术局负责协调技术指导和支持，并监督落实。

在国外，一些机构已经让网站下线。据英国广播公司（BBC）报道（《星报》转载），芬兰暂时关闭了政府的公共网络服务，荷兰议会下院网站无法访问，维基媒体基金会也作为预防措施下线了部分系统。美国国家安全局（NSA）建议无法更新的机构让系统下线；日本首相高市早苗呼吁民众检查自己公开的网站是否运行PHP。

这两个漏洞由网络安全公司卡利夫（Calif）和Wiz的研究人员发现，已经潜伏了十多年。Wiz估计“约70%”的互联网受到影响，英国广播公司说无法核实这一数字。美国网络安全和基础设施安全局（CISA）说，截至该局发表声明时，还没有发现这两个漏洞被人利用，但没有打补丁的系统仍有风险。

据《旗帜报》（The Standard）7月18日报道，肯尼亚政府承认，总统威廉·鲁托的官方网站president.go.ke被黑。一些用户说，他们打开网站时看到首页被换上了针对政府的信息。政府当时说，没有证据显示敏感数据遭到未授权访问。

这次打了补丁的四个版本系列中，PHP 8.2将于今年12月31日停止支持，此后不再有安全修复。