问答

PHP2Shell 问答：运维最关心的问题

回答跟随页底链接的公开来源。来源不一致时，回答会写明分歧，而不是取一个平均数。

最近更新 2026-10-22

PHP2Shell 是什么？

CVE-2026-109618 和 CVE-2026-109619 的合称。二者是 PHP 运行时中的严重漏洞。PHP 项目称，它们可能允许对提供网页请求的 PHP 进行未经身份验证的远程代码执行。CISA 把这个绰号写成 “php2shell”。

哪些版本已修复？

PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，或这些分支的后续版本。它们于 2026 年 10 月 21 日发布。PHP 8.1 及更早版本没有官方发行版。7.4、8.0 和 8.1 有最小源码回移植。

升级是不是唯一完整的修复？

按照 PHP 项目和 AWS 的说法，是的。修改 memory_limit、减小 post_max_size、关闭 session upload progress，以及 Web 应用防火墙，都是临时措施。PHP 称它们不能让安装变得安全。

mod_php 和 PHP-FPM 是否都受影响？

PHP 同时列出二者，外加 php-cgi、FrankenPHP 和 LiteSpeed。它把 mod_php 评为最高，并有一个在应用代码运行之前触发的未授权利用演示。FPM 也在范围内。PHP Foundation 和 oss-security 说明对 FPM 的强调略有不同；两者都要求你修补 FPM。

是否已有人在利用？

尝试：按照 AWS、Cloudflare 和 watchTowr 的说法，有。AWS 把一次蜜罐尝试定在 2026 年 10 月 17 日，即披露前四天。真实生产系统被成功入侵这一点，在 CISA 警报、SecurityWeek 对 watchTowr 传感器的转述、AWS 帖子（称真实系统上是否成功尚不清楚）以及 Expel 截至 10 月 21 日 20:00 UTC 的客户说明中，都没有被证实。

这些 CVE 在 CISA 已知被利用漏洞目录里吗？

Expel 称截至 2026 年 10 月 21 日 20:00 UTC，二者都未被列入。Tanium 描述当天 14:04 UTC 的目录更新也没有列入二者。watchTowr 于 10 月 22 日更新的问答仍称未列入。CISA 自己的警报称截至发布时尚未观察到利用。请查看实时目录。本站不会在每次访问时重新查询它。

PHP 8.1 及更早版本，包括 PHP 5，怎么办？

它们没有 10 月 21 日的官方发行版。Wiz、Google Cloud 和 Cloudflare 把受影响版本描述为从 PHP 5.4 到尚未修复的 8.5 构建。watchTowr 说过自 PHP 5 起。Expel 指出，在它读到的材料里 PHP 没有明确确认 7.3 及更早版本，同时仍然说要把网上生命周期已结束的 PHP 视为有风险。请升级，或将其下线。

WAF 能代替补丁吗？

不能。CISA 称在你修补之前，WAF 可能提供一些保护。Cloudflare 部署了规则，同时仍然要求客户修补。PHP 项目称只有更新才是完整的。

有多少服务器暴露在外？

The Record 报道 VirusTotal 分析中约有 510 万个运行 PHP 的 IP 地址，不是 510 万个已被证实存在漏洞的主机。ThreatCluster 对这次扫描的文章称，其中约 110 万个会公布版本。Wiz 和 Cloudflare 另引 PHP 在网站中接近 70% 的占比。这是不同的度量。

你们发布利用代码或概念验证吗？

不发布。公开报道称概念验证代码已经存在。Expel 警告，一些流传的代码未经核实，可能是恶意的。本站链接到公告，不会托管载荷或攻击步骤。

这是 PHP、NVD 或 CISA 的官方网站吗？

不是。phpvulnerabilities.app 是独立简报，与 PHP Group、php.net、NVD、NIST 或 CISA 均无隶属关系。采取行动前请阅读我们链接的公告；若我们与它们不一致，以它们为准。

如果今天无法修补呢？

CISA 的建议是，在能够更新之前，把面向互联网的 PHP 下线，尤其是 PHP 8.1 及更早版本。如果短时间内必须保持在线，可以采用修复页上那些并不完整的设置，前面放一个 WAF，并把升级按小时而不是按 30 天的补丁窗口来排。最后这一点是 AWS 从这次事件得出的教训，不是承诺几个小时总是够用。

来源

出站链接将离开本站。本站不托管利用代码。

News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
Known Exploited Vulnerabilities catalog — CISA
Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
Cloudflare deploys protections against php2shell vulnerability — Cloudflare
FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record