CISA、ENISA、Cloudflare、AWS 如何评价 PHP2Shell

PHP 项目与 PHP Foundation

php.net 10 月 21 日的公告是操作依据。它称两个缺陷都可能允许未经身份验证的远程代码执行，所有提供网页请求的 PHP 安装都有风险，mod_php 风险最高，并且只有更新才是完整修复。那里点名的修复版本是 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP Foundation 同日的文章称，在默认设置的 Apache mod_php 上、应用代码运行之前，演示了完整的远程代码执行，并且通过应用层路径在 PHP-FPM 上也确认了远程代码执行。Foundation 在那篇文章里没有公布在野入侵的计数。

NVD

Tanium 的时间线称，NVD 于 2026 年 10 月 21 日 14:17 UTC 发布 CVE-2026-109618，并标记为“正在分析”（Undergoing Analysis）。本站链接两个 CVE 的 NVD 详情页。10 月 22 日直接抓取 CVE-2026-109618 页面时，只得到 NVD 的页面框架，没有分析正文，因此本页不声称已经重读了 NVD 的当前状态。如果 NVD 仍显示记录正在分析，分数和修复请以 PHP 公告为准。Tanium 还称，当天 14:04 UTC 的 CISA KEV 目录更新没有列入二者。

CISA

CISA 于 2026 年 10 月 21 日发布的警报要求立即修补到 8.5.12、8.4.27、8.3.36 或 8.2.35，清点包括仅仅作为组件存在的 PHP，并且在无法更新时把系统下线，包括 PHP 8.1 及更早版本。它称 Web 应用防火墙在此之前可能提供一些保护。关于利用，它说：截至发布时 CISA 尚未观察到利用。该警报没有说任一 CVE 被加入已知被利用漏洞目录。watchTowr 于 10 月 22 日更新的问答仍将 CISA KEV 标为未列入。Expel 在 10 月 21 日 20:00 UTC 的说法相同。本站没有重新下载该目录。

ENISA 与欧盟联合声明

ENISA 发布了关于这些严重 PHP 漏洞的联合声明。为本站检索到的文本称，PHP 安全团队于 2026 年 10 月 21 日 13:40 UTC 发布更新，技术细节以及受影响和已修复的版本随发布一并给出，并且这些缺陷可以在易受攻击的服务器上未经身份验证地运行恶意代码。CERT-EU 自己的 2026-018 号通告是另一份文件，Tanium 早已把它标成 10 月 20 日的产品：1.1 版称修复于 10 月 21 日 13:30 UTC 发出，概念验证已经开始流传，这提高了攻击者已经在利用这些缺陷的可能性。CERT-EU 的建议是立即修补，或在修复得到应用和核实之前隔离面向互联网的应用。它让运营者去看 NCSC-NL 关于嵌入 PHP 的产品清单。13:30、13:40 和 14:00 UTC 这几个数字按各来源的原文保留。

英国与荷兰

英国 NCSC 要求机构清点 PHP 本身，而不是只找旧版本，采用 PHP 团队的加固措施，并在临时缓解来不及应用时把系统下线。它还说，如果系统曾经持续暴露，要查找入侵迹象，并指向一份带有 PHP 依赖的 NCSC-NL 产品清单。该清单是 NCSC-NL 的 php2shell 仓库。它重述了 PHP 项目的警告：未经身份验证的远程代码执行是可能的，提供网页服务的安装包括 PHP-FPM、mod_php、php-cgi、FrankenPHP 和 LiteSpeed 都在范围内，mod_php 风险最高。这份清单是起点，不能证明未列入的产品就是安全的。

加拿大、德国、日本与 CERT-EU

• 加拿大网络安全中心，AL26-026，2026 年 10 月 21 日：两个 CVE 被描述为释放后使用问题，可能允许未经身份验证的攻击者执行任意代码。该中心称已看到表明存在概念验证的开源报告，而它当时没有发现主动利用。它公布了同样的四个修复版本，并称 8.1 及更早版本没有官方 PHP 发行版。
• BSI，警告 2026-297981-1032，1.0 版，日期 2026 年 10 月 21 日：CVSS v4.0 9.2 意味着无需身份验证、也无需用户交互的远程代码执行。BSI 称当时没有已知的已证实利用，同时已有未经证实的利用代码报告。警告把补丁描述为定于德国时间 16:00（14:00 UTC）发布，并称一发布就应安装。请把它读作该版本发布时的 BSI 立场，而不是事后的解除警报。
• JPCERT/CC：2026 年警报索引在 2026 年 10 月 22 日列出一则标题为 PHP 多个漏洞（CVE-2026-109618 与 CVE-2026-109619）的通知。同一天上午，JPCERT/CC 的 JVN 列表包含一条关于 PHP 多个可导致任意代码执行的漏洞的条目，时间为 10:30。本站没有取回完整的警报正文，因此除了这些标题，不把某项利用结论归于 JPCERT/CC。
• CERT-EU 2026-018 已在 ENISA 一节摘要。它是欧盟机构的 CERT，不能代替 ENISA 的联合声明。

Cloudflare，包括 10 月 22 日的尝试数字

Cloudflare 10 月 21 日的博客称，免费和付费客户的 WAF 规则自 03:02 UTC 起生效，漏洞在正式发布前泄露，并且 Cloudflare 观察到攻击流量以及针对这些规则的载荷变化。它还称客户仍然应该修补。路透社日期为 2026 年 10 月 22 日的报道引用了 Cloudflare 首席执行官 Matthew Prince 在 X 上的帖子。本站没有打开那条 X 帖子。按路透社的引述：在公开公告前的 10 个小时里，Cloudflare 看到数千次尝试；公告后 45 分钟内升至数万次，两小时内达到数十万次，到发帖时为数百万次。路透社在日期为 10 月 22 日的报道里把该帖称为“周三晚间”。同一篇报道称，欧洲和其他地方的政府网站下线，运营者忙于处置，三菱 UFJ 金融集团和日本财务省也因紧急措施暂时中止了部分服务。这些句子描述的是关闭和暂停。它们没有说这些网站经由 PHP2Shell 被入侵。

AWS 与 watchTowr

AWS 称 MadPot 在 2026 年 10 月 17 日、披露四天前看到一次利用尝试，并在 10 月 21 日看到更多尝试和概念验证，包括解禁之前。AWS 称不清楚这些尝试在真实系统上是否会成功，并在补丁之后称 PHP2Shell 正在被广泛地在野利用——指的是 AWS 看到的尝试，不是一份已公布的被入侵网站名单。watchTowr 称正在其蜜罐网络上观察对两个 CVE 的主动利用尝试。SecurityWeek 报道 watchTowr 没有观察到成功的尝试。watchTowr 于 10 月 22 日更新的问答仍将 CISA KEV 标为未列入。

Datadog、Qualys、Tanium 与 Huntress

• Datadog Security Labs 称它独立复现了两个问题，并且应用层身份验证挡不住 mod_php 这条路径，因为 PHP 在应用代码运行之前就处理了请求。它引用 AWS 10 月 17 日的尝试，并称只有修补才是完整修复。本站不重复 Datadog 的复现步骤。
• Qualys 在日期为 2026 年 10 月 21 日的更新中要求客户优先处理面向互联网的 PHP，从 Apache mod_php 开始，并指出 Cloudflare 已报告攻击流量，包括试图规避防护的尝试。Qualys 公布了检测 QID，并称它的“检测到 PHP”检查本身不能证明任一 CVE。
• Tanium 称已有在野利用的报告，在它撰写时可靠的公开利用仍然稀少，并且它在 10 月 21 日核对的 KEV 目录更新没有列入二者。它也记录了上面提到的 NVD“正在分析”标记。
• Huntress 的快速响应文章敦促立即更新到 8.5.12、8.4.27、8.3.36 或 8.2.35。在搜索返回的该文片段中，Huntress 称尚未在其合作伙伴范围内看到利用，同时指出其他方面正在看到攻击出现。那句话的时间戳请以原文为准。

发行版与面板厂商，简述

Red Hat 的公告 RHSB-2026-013 称一些更新已经可用，更多更新仍在进行。Ubuntu 称已为所有受支持版本的受影响软件包发布修复。cPanel 称已为 ea-php74 及以上发布更新。Plesk 称它随产品提供的 PHP 已有修复，其中包括针对面板自有引擎的特定 Plesk Obsidian 更新。细节和这些说法的限度见厂商状态页。