这周最需要动手的一件事：两个 PHP 漏洞进入实际在野利用阶段，CISA 已把它们加入 KEV 目录（CVE-2026-109618 内存损坏、CVE-2026-109619 内部请求状态残留），恶意 DNS 蜜罐已经记录到确凿的 RCE 成功案例。
为什么这次比一般的 PHP 漏洞更急
第一，利用已经从大规模扫描升级为实际入侵，不是「可能被利用」。第二，受影响的不只是你明面上跑 PHP 的网站。大量商业设备、网络 appliances、监控系统、NAS 里都嵌了 PHP 运行时，它们不在你的资产清单里，但一样可以被利用。
盘点的正确姿势
不要只查 web 服务器。按这个顺序走：先列出所有对外暴露的服务与设备型号，逐个查厂商公告里有没有提到 PHP；再扫内部资产里运行 PHP-FPM 或 php-cgi 的进程；最后翻运维台账里的第三方设备，尤其是防火墙、邮件网关、备份设备、监控平台这类常被忽略的。
修补
PHP 官方已发布 Windows 构建 8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1，同时修了随附 Brotli 的越界问题 CVE-2026-111497。Linux 侧按发行版的包管理器升级。注意别只升 PHP 本体，随附的扩展和嵌入的第三方库也要一起看。
修补后的两件事
第一，查入侵痕迹。重点找 web shell 文件、PHP-FPM 工作进程拉起的异常子进程、以及 web 目录下修改时间异常的文件。第二，假设曾经被入侵过，轮换 web 应用能访问到的所有凭证：数据库密码、对象存储 key、API token。
一个容易漏的点
Citrix 相关产品也受这组 PHP 运行时问题影响，NCSC-FI 已发出警告。如果你的网关或者远程接入产品是这类设备，别等厂商的自动更新，主动去查公告。
心态
这类漏洞的修补不是「升级一个包」就结束，是一次完整的资产盘点加应急响应。周五下午发现，周末就得动。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。
