Hacker News 中文摘要

RSS订阅

PHP web runtimes (CVE-2026-109618 and CVE-2026-109619)

原文链接 | HN讨论 | 2026-10-22 10:49:40

亚马逊云科技（AWS）发布编号为 2026-143-AWS 的安全公告，发布时间为 10/21/2026 14:30 PM PDT。公告指出，超文本预处理器（PHP）Web 运行时中存在两个严重问题（CVE-2026-109618 和 CVE-2026-109619），未经验证者可在受影响系统上执行代码。远程调用方可向受影响的 PHP 工作进程发送构造的 Web 请求，以执行任意代码、读取进程可访问数据或造成拒绝服务。AWS 服务不受影响，但在下列服务中使用受影响 PHP 版本的客户可能受影响，应查阅指南。

正文

PHP Web 运行时（CVE-2026-109618 和 CVE-2026-109619）

公告编号：2026-143-AWS；范围：AWS；内容类型：重要（需关注）；发布日期：2026年10月21日 14:30 PDT。

摘要：

PHP Web 运行时中发现两个严重问题（CVE-2026-109618 和 CVE-2026-109619），未经身份验证的攻击者可在受影响系统上执行代码。远程调用者可以向受影响的 PHP 工作进程发送构造的 Web 请求，从而执行任意代码、读取进程可访问的数据，或造成拒绝服务。AWS 服务不受这些问题影响。在下列服务中使用受影响 PHP 版本的客户可能会受影响，应查阅相关指南。

受影响版本：

  • PHP 8.5：受影响版本 8.5.0–8.5.11 · 首个修复版本：8.5.12
  • PHP 8.4：受影响版本 8.4.0–8.4.26 · 首个修复版本：8.4.27
  • PHP 8.3：受影响版本 8.3.0–8.3.35 · 首个修复版本：8.3.36
  • PHP 8.2：受影响版本 8.2.0–8.2.34 · 首个修复版本：8.2.35
  • PHP 5.4–8.1：无上游修复发布。已终止支持，且没有计划修复。需要迁移到受支持的分支。

影响：

该问题可由未经身份验证的攻击者通过互联网到客户应用程序的边界远程利用，可导致在目标 PHP 工作进程上执行代码、意外访问进程可访问的数据，或造成拒绝服务。问题仅限于受影响的 worker 及其应用程序级权限；迄今未确立跨客户传播。

当前缓解状态：

  • Amazon WorkMail：AWS 已应用配置级控制，限制触发这些问题的条件。升级到 PHP 8.3.36 的目标日期为 2026-10-22。客户无需采取行动。
  • AWS Elastic Beanstalk：AWS 于 2026-10-21 发布了更新的 PHP 平台版本（v4.13.12），修复了两个 CVE。包含上游 PHP 修复的后续平台版本目标日期为 2026-10-22。启用托管平台更新的客户将在下一个维护窗口自动收到更新。未启用托管平台更新的客户应遵循文档更新其环境的平台版本。
  • Amazon Linux：更新的 PHP 软件包目标日期为 2026-10-22。在 Amazon Linux 上运行 PHP 的客户应在软件包可用后尽快应用更新。请关注 Amazon Linux 安全中心中的 CVE-2026-109618 和 CVE-2026-109619 以获取详细信息。
  • Amazon Lightsail：更新的 Lightsail 蓝图预计于 2026-10-21 提供。AWS 无法就地更新正在运行的 Lightsail 实例。在 Lightsail 上运行 PHP 工作负载的客户应使用更新后的蓝图创建新实例，并按照文档迁移其应用程序。

缓解指南：

  • 立即升级到已修复的 PHP 版本是唯一完整的修复：8.5.12、8.4.27、8.3.36 或 8.2.35。以下配置更改可能降低无法立即更新的客户所受影响，但都不是完整的缓解措施。
  • 有关其他缓解措施，请参阅 安全公告：严重远程代码执行漏洞，请立即更新。
  • 已终止支持的运行时 5.4–8.1：在有效的情况下为 CVE-2026-109619 应用临时配置控制，重启 PHP 工作进程，并立即开始迁移到受支持且已修复的 PHP 分支。终止支持的分支上没有针对 CVE-2026-109618 的修复。
  • 如果正在使用 AWS WAF，可采取补偿控制：
    • 对于 CVE-2026-109618，使用 AWS WAF 核心规则集（CRS）托管规则组中的 SizeRestrictionsBODY 规则，阻止超过 8 KB（8,192 字节）的请求体。
    • 对于 CVE-2026-109619，在 WebACL 中添加以下自定义规则，在应用程序打补丁之前防范利用尝试。该规则匹配正文中包含 PHPSESSIONUPLOADPROGRESS，且正文或 Cookie 中包含 PHPSESSID 的 POST 请求。我们将很快更新 AWS WAF PHP 托管规则组。

CVE-2026-109619 的自定义规则

{ "Name": "PHP2Shell", "Priority": 0, "Statement": { "AndStatement": { "Statements": [ { "ByteMatchStatement": { "SearchString": "POST", "FieldToMatch": { "Method": {} }, "TextTransformations": [ { "Priority": 0, "Type": "NONE" } ], "PositionalConstraint": "EXACTLY" } }, { "OrStatement": { "Statements": [ { "ByteMatchStatement": { "SearchString": "PHPSESSID", "FieldToMatch": { "Cookies": { "MatchPattern": { "All": {} }, "MatchScope": "KEY", "OversizeHandling": "CONTINUE" } }, "TextTransformations": [ { "Priority": 0, "Type": "NONE" } ], "PositionalConstraint": "EXACTLY" } }, { "ByteMatchStatement": { "SearchString": "PHPSESSID", "FieldToMatch": { "Body": { "OversizeHandling": "CONTINUE" } }, "TextTransformations": [ { "Priority": 0, "Type": "NONE" } ], "PositionalConstraint": "CONTAINS" } } ] } }, { "ByteMatchStatement": { "SearchString": "PHPSESSIONUPLOAD_PROGRESS", "FieldToMatch": { "Body": { "OversizeHandling": "CONTINUE" } }, "TextTransformations": [ { "Priority": 0, "Type": "NONE" } ], "PositionalConstraint": "CONTAINS" } } ] } }, "Action": { "Block": {} }, "VisibilityConfig": { "SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "PHP2Shell" } }

评论

社区讨论几乎一边倒批评 AWS 对本次 PHP CVE 的响应：公告后长时间没有明确时间表，白天几乎没有实质信息，而 Wiz 博客显示 AWS 其实已提前收到通知。分歧主轴不在“该不该批评”，而在批评焦点是响应迟缓与信息不透明、AWS 一贯更新前科，还是 Amazon Linux 本身用户基础与被放弃的调侃；也有人补充更新最终已经发布或排期。

批评 AWS 响应迟缓、信息不透明，且辜负提前通知

  • 多个评论指出，CVE 公布后 AWS 长时间没有给出实质信息，用户直到深夜才等到“更新将在明天发布”的公告；有人质疑 AWS 似乎没有提前知晓或提前准备好补丁。（较多人）
  • 更尖锐的批评是，既然 Wiz 博客明确提到 AWS 已提前收到通知，这次拖延尤其说不过去。（较多人）

从 CVE 发布到公告出来，Amazon Linux 用户和 AWS 客户几乎没有得到任何切实信息。（@hayd）

认为 AWS 安全更新一贯落后，早有前科

  • 有人指出 AWS 在交付关键更新方面记录很差；在被称为 Copy Fail 的 CVE-2026-31431 事件中，Bottlerocket OS 的更新落后于所有主流 Linux 发行版。（少数人）

在 Copy Fail 漏洞事件中，AWS 更新 Bottlerocket OS 的速度落后于所有主流 Linux 发行版。（@mikeweiss）

指出更新最终已经发布或排期

  • 有评论补充事实：AWS 后来发布安全公告，称补丁将在 10 月 22 日发布；随后又有人更新说公告写的是“明天某个时间”能看到更新。HoyaSaxa 则表示 Amazon Linux 镜像大约已经在 15 分钟前发布。（较多人）

质疑 Amazon Linux 的生产使用率，并调侃 AWS 像在劝退用户

  • 有人直接发问：到底有没有人在生产环境用 Amazon Linux？他待过的公司都使用 Debian、Ubuntu、Red Hat 或 SUSE 这类主流发行版。（少数人）
  • 也有人半开玩笑地说，AWS 这番迟缓处理听起来像是在故意赶走 Amazon Linux 用户。（少数人）

听起来他们就是想赶走 Amazon Linux 用户。（@pier25）

有价值的补充

  • AWS 员工在 GitHub 讨论中引用了一个 nginx 的“重要”级 CVE 曾花费 20 天修复的先例，并指出本次 PHP CVE 同样被 AWS 标为“重要”级而非“严重”级；他还不认同把 20 天称为“快一个月”。这条先例与定级信息成为批评者质疑 AWS 响应优先级的重要依据。（@hayd）