安全通报 · PHP2Shell · 2026年10月22日
PHP2Shell：PHP 严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）
本站为非官方通报，与 php.net、NVD、CISA 无关。页面结构参考 PHP 官方安全公告，方便运维人员快速扫读。
最近更新
1. 新闻速览
2026年10月21日，PHP 项目发布安全公告，修复运行时中的两个严重、未授权远程代码执行漏洞。业界常称 PHP2Shell，CISA 文案中写作 “php2shell”。
| 编号 | 摘要 | CVSS v4.0 |
|---|---|---|
| CVE-2026-109618 | 内存耗尽路径导致的 RCE（GHSA-w8hw-w9fx-j79w）。Apache mod_php 风险最高。 | 9.2 |
| CVE-2026-109619 | 过期全局状态导致的 RCE（GHSA-6wmf-4rv5-p3rp），同一 worker 上后续请求可能复用。 | 9.2 |
| 分支 | 补丁前状态 | 修复版本（2026-10-21） |
|---|---|---|
| PHP 8.5 | 受影响 | 8.5.12 |
| PHP 8.4 | 受影响 | 8.4.27 |
| PHP 8.3 | 受影响 | 8.3.36 |
| PHP 8.2 | 受影响 | 8.2.35 |
| PHP 8.1 及更早 | PHP 项目不再发布官方版本；部分发行版/厂商提供回移植 | 见厂商或 EOL 说明 |
已公开的攻击活动
- AWS MadPot 报告 2026年10月17日（披露前）已出现利用尝试。
- Cloudflare、AWS、watchTowr 描述公告后出现大量利用尝试；Cloudflare CEO 于 10月22日发帖称尝试量从数千升至数百万。
- 截至本页审阅来源，尚无“某知名生产网站已被入侵”的公开披露。次要报道称截至 10月22日未列入 CISA KEV — 请自行核对KEV 目录。
2. 评估你的网站 / 版本是否受影响
输入 Web 环境报告的 PHP 版本（`php -v`、主机面板或 `phpinfo()`）。本工具只对比上游修复版本号，无法识别厂商回移植。
3. 受影响的著名站点 / 厂商
| 厂商 | 状态 | 说明 |
|---|---|---|
| Cisco | 排查中 | 多款产品排查中；公告中尚未确认受影响产品。 |
| Red Hat | 部分已修复 | 请核对你的软件频道。 |
| Ubuntu | 已修复 | 受支持版本已发安全更新。 |
| cPanel | 已修复 | 面板相关包已更新。 |
| Plesk | 已修复 | 面板相关包已更新。 |
| Sophos | 不受影响 | 厂商声明其产品不受影响。 |
4. 如何修复 / 打补丁
- 升级到 PHP **8.5.12**、**8.4.27**、**8.3.36** 或 **8.2.35**（或同分支更新版本）。源码与 Windows 构建见 php.net downloads。
- 重启所有对外提供服务的进程（Apache mod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeed、容器等）。
- PHP 8.1 及更早：获取厂商回移植，或按项目提供的 7.4/8.0/8.1 最小源码回移植自行构建，否则在可升级前下线服务 — 与 CISA 对无法更新系统的建议一致。
- WAF 与 PHP 公告中的临时 `php.ini` 措施只能降低部分路径风险，不是完整修复。
apt / yum / Docker / cPanel / Plesk 等步骤见：修复指南。
5. 全球暴露评估与 AI 时代对陈旧系统的冲击
公开的足迹估计很大，但它们不是“已被攻破站点”的计数。The Record（援引 VirusTotal）与 ThreatCluster 均使用约 **510 万** 被识别为 PHP 的公网地址（ThreatCluster 称其中约 110 万暴露版本头）。另有研究将类 Censys 暴露估计放在 **130 万+** 受影响主机。Bitsight 近期 PHP 观测中占比较高的是美、德、法、荷、日 — 这不能证明某一国家“更陈旧”。
我们**不会**编造全球损失的美元数字。在保险公司、政府或泄密披露给出可归因成本之前，任何金额都只是猜测。
为何在 AI 时代冲击更大
- 围绕 PHP2Shell 的报道（含 Wiz、The Record 对 PHP 基金会的报道）提到 AI 辅助审查帮助发现遗留在老运行时中的严重缺陷。攻击方同样受益：PoC 一旦出现，扫描与武器化速度往往快过遗忘主机的人工补丁节奏。
- 已停止支持的 PHP（无厂商回移植的 5.x–8.1）仍大量存在于共享主机、一体机和“装完就不管”的 CMS。语言级 RCE 会变成全网清理问题，而不是单个应用的 bug 单。
- 对运维：盘点所有嵌入 PHP 的位置，公告当日打补丁，淘汰项目已停更的分支。对行业：AI 缩短“发现到利用”窗口，陈旧栈上的补丁延迟就是暴露面。
来源
出站链接将离开本站。本站不托管利用代码。
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Joint statement on critical PHP vulnerabilities — ENISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- PHP2Shell: PHP remote code execution exploited — watchTowr
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Known Exploited Vulnerabilities catalog — CISA