产品与技术栈 · 防火墙、设备与 IT 工具
PAN-OS 与 PHP2Shell：是否受影响、怎么修复
如何查看 PAN-OS 用的 PHP 版本
按你的环境执行下面的命令。同分支内版本不低于 8.2.35、8.3.36、8.4.27 或 8.5.12 即已修复；更老的分支只有厂商明确说明的构建才算修复。
show system info命令行的 php 可能和实际服务网站的 PHP 不是同一个。要确认的话，检查 Web SAPI（放一个需要登录的临时 phpinfo() 页面，或看面板的 PHP 设置），用完删掉。本站的版本检查器可以帮你对比版本号。
🔎 拿到版本号后，可以粘贴到 PHP2Shell 检测工具里核对 →
如何修复 PAN-OS 中的 PHP2Shell
- 把管理接口限制为可信内网 IP，不要暴露到公网。
- 如果依赖 Threat ID 543004 和 97622–97625，要让管理流量经过启用解密的数据平面端口，否则签名看不到这些流量。
- 关注公告中的 PAN-OS 和 Panorama 修复版本，发布后立即安装。
- 在厂商发布修复版 PHP 之前，基于 PHP 的界面不应能从不可信网络访问：限制在管理网络、IP 白名单或 VPN 内。
- 厂商更新一出来就安装，并再次核对版本。
想让 AI agent 帮你检查？ 先检查是否受影响 · 用 AI Agent 修复
暂时无法打补丁时
- 在应用无法覆盖的地方设置
session.upload_progress.enabled = 0（php.ini、FPM 进程池或 Apache 配置里的php_admin_value），并重启 PHP。 - PHP 8.5 上设置
fatal_error_backtraces = 0。 - PHP 的临时建议还涉及
memory_limit和较低的post_max_size，请严格按修复页面操作，这些设置只能堵住部分路径。 - 如果跑的是 PHP 8.1 或更早且没有厂商反向移植，限制访问（VPN、IP 白名单）或下线服务。WAF 规则有帮助，但不是修复。
常见问题
PAN-OS 受 PHP2Shell 影响吗？
受影响，厂商尚未发布修复。 Palo Alto 公告列出 PAN-OS 12.2、12.1、11.2、11.1、10.2（所有版本）和 Panorama 受影响，修复版本为「ETA: TBD」。Prisma Access、Cloud NGFW、GlobalProtect App、Cortex 产品和 Prisma Cloud 列为不受影响。Threat Prevention 用户应启用 Threat ID 543004 和 97622–97625（内容版本 9162 或更高），但只有当管理接口的入站流量经过数据平面端口并被解密时才能起到保护作用。Palo Alto 表示未发现针对其产品的恶意利用；Unit 42 简报称已看到概念验证代码。
只更新 PAN-OS 本身能修复 CVE-2026-109618 和 CVE-2026-109619 吗？
只有更新里包含修复版 PHP 才行。PHP2Shell 是 PHP 解释器的漏洞，关键是 PAN-OS 运行在哪个 PHP 上。更新后请核对版本。
哪些 PHP 版本修复了 PHP2Shell？
2026 年 10 月 21 日发布的 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 8.1 及更早版本官方不发新版本，只有带反向移植的厂商构建（或自行用 7.4、8.0、8.1 源码补丁编译）才能修复。
PAN-OS 还没有修复怎么办？
不要让它基于 PHP 的网页界面暴露在公网（用 VPN 或 IP 白名单），应用 PHP 的临时设置（如关闭 session upload progress），厂商一出更新就安装。临时设置能降低风险，但不是修复。
相关产品
- pfSense (Netgate)厂商已修复
- OPNsense厂商已修复
- FreePBX and PBXact受影响，暂无修复
- Nagios XI需更新系统或主机 PHP
- Zabbix frontend需更新系统或主机 PHP
- GLPI厂商已修复
来源
- Palo Alto Networks advisory CVE-2026-109618
- Unit 42 threat brief
- Mallory: PHP2Shell – am I affected? (product table)
- PHP advisory GHSA-w8hw-w9fx-j79w
- PHP advisory GHSA-6wmf-4rv5-p3rp
出站链接将离开本站。本站不托管利用代码。
这是对公开资料的非官方整理。本站与厂商和 PHP 项目无关，不提供任何利用代码。