什么是 PHP2Shell？PHP 中的两个严重 RCE 漏洞

PHP 项目认为谁有风险

php.net 10 月 21 日的公告称，所有提供网页请求的 PHP 安装都在范围内，并点名 PHP-FPM、带 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。项目认为 mod_php 风险最高：已演示的利用可以让未经身份验证的请求在任何应用代码运行之前触发攻击。在这条路径上，应用层加固没有帮助。

同一份公告称，只有更新才是完整方案。临时设置只能降低特定路径的暴露，不能让安装变得安全。CISA 的操作结论与此一致：立即修补；如果无法更新，就把基于 PHP 的系统下线，包括 PHP 8.1 及更早版本。

两个缺陷有何不同

两者都位于几乎每个请求都会碰到的代码中。PHP Foundation 把 CVE-2026-109618 描述为内存耗尽处理可能留下只完成了一部分初始化的内部数据，而 PHP 随后把这些数据当成有效数据。它把 CVE-2026-109619 描述为致命错误发生在错误的时刻，使内部状态指向早前请求的内存，于是同一工作进程上的后续请求使用了已释放的内存。Wiz 和 Cloudflare 还在远程代码执行和拒绝服务之外，描述了进程内存泄露，其中可能含有其他请求的机密。本页不重复利用构造方法。

• CVE-2026-109618内存耗尽损坏。CVSS v4.0 9.2。GHSA-w8hw-w9fx-j79w。
• CVE-2026-109619陈旧的全局状态。CVSS v4.0 9.2。GHSA-6wmf-4rv5-p3rp。

哪些版本

流传的范围并不相同，把它们压成一个数字会制造出厂商没有发表过的精确度。PHP 安全团队在 oss-security 上关于 CVE-2026-109618 的说明列出：8.2.35 之前的 PHP 8.2、8.3.36 之前的 8.3、8.4.27 之前的 8.4，以及 8.5.12 之前的 8.5。这些是拿到了发行包的分支。项目还说 8.1 及更早版本不再接受上游更新，并为 7.4、8.0 和 8.1 提供了最小源码回移植。

Wiz 称大约过去十年、回溯到 5.4 的每个 PHP 版本都至少受其中一个问题影响。Google Cloud 写的是 5.4 至 8.5.11。Cloudflare 写的是 PHP 5.4 或更新版本。watchTowr 的问答于 10 月 20 日、厂商公告之前首次发布，称 PHP 5、7 和 8 都受影响。Expel 认为回移植说明 7.4、8.0 和 8.1 在范围内，并称 PHP 没有说明 7.3 及更早版本是否受影响。Expel 的实用建议是：假定任何在网上提供服务、且生命周期已结束的 PHP 都有风险。版本表把这些说法并列放置。

利用：是尝试，不是已被证实的入侵计数

• AWS 称 MadPot 蜜罐在 2026 年 10 月 17 日、披露四天前记录到一次利用尝试，来源 IP 与商业匿名网络有关。AWS 还称 10 月 21 日出现了更多尝试和概念验证，其中一部分在解禁之前，且不清楚它们在真实系统上是否会成功。补丁发布后，AWS 描述了广泛的利用尝试。
• Cloudflare 称细节在正式发布前泄露后，它观察到了攻击流量，攻击者还在改变载荷以试图绕过 WAF 规则。在我们读到的文章里，Cloudflare 没有公布成功入侵的数量。
• watchTowr 称正在观察对两个 CVE 的主动利用尝试。SecurityWeek 报道 watchTowr 在补丁落地前后看到了尝试，但没有观察到成功的尝试。
• CISA 10 月 21 日的警报称，截至发布时 CISA 尚未观察到利用，同时仍然要求立即修补。
• Expel 在 2026 年 10 月 21 日 20:00 UTC 的状态中称，它没有在任何客户环境中证实利用；Cloudflare 报告了早期攻击，但没有说明是否成功；两个 CVE 都不在 CISA KEV 目录中。watchTowr 于 10 月 22 日更新的问答仍将 KEV 标为未列入。Tanium 同样称 10 月 21 日 14:04 UTC 的目录更新没有列入二者。本站在 10 月 22 日没有重新下载该目录。

AWS、加拿大网络安全中心（援引开源报告称已有 PoC）和 Expel 都提到公开的概念验证代码。Expel 补充说，流传的代码未经核实，其中一些可能是恶意的。我们不链接也不转载这些代码。

规模，需要说清楚

Wiz 的标题数字是 PHP 支撑了网站中的大多数；Cloudflare 的文章称接近 70%。那是网站占比，不是可被利用的服务器数量。The Record 重复的互联网主机估计是 VirusTotal 分析中的约 510 万个 IP，保留首页上的那些限定。ThreatCluster 在描述这次 VirusTotal 扫描时称，大约五分之四被指纹识别为 PHP 的服务器不会主动给出版本字符串。

PHP 也被嵌在设备和托管面板里。英国 NCSC 指向 NCSC-NL 一份带有 PHP 依赖的产品清单，那是起点，不是完整普查。Google Cloud 称其平台本身并不因此而存在漏洞，但在 App Engine、Cloud Run、GKE 或 Marketplace 镜像上运行 PHP 的客户可能受影响，并说明了其中哪些会由它自动更换基础镜像。

发现过程，按参与方自己的说法

Wiz Research 称这些缺陷存在了十多年，前沿模型让一条利用链变得可行。Google Cloud 将发现归功于 Wiz，并称 Gemini 4 Argon 参与了发现、利用开发、检测和补丁验证。The Record 报道 PHP Foundation 说，人工智能复查在 2026 年 8 月首次引起警觉，而迹象在 2024 年已经出现。这些是相关机构自己的归因。它们不改变修复动作：升级。