非 php.net · 非 NVD · 非 CISA

PHP 漏洞追踪

关于 PHP 安全漏洞的非官方简报

English简体中文日本語Deutsch

安全警报

PHP2Shell：请升级 PHP。这是唯一完整的修复。

CVE-2026-109618 与 CVE-2026-109619 是 PHP 本体中的严重漏洞，未经身份验证即可远程执行代码。PHP 项目已于 2026 年 10 月 21 日为仍受支持的 8.2 至 8.5 分支发布修复。升级后必须重启 PHP。防火墙不能替代升级。

修复步骤

时间线

PHP2Shell 时间线：泄露、补丁与利用尝试

下面的时间按所引来源的写法保留。ENISA 的 13:40 UTC 和 AWS 的 14:00 UTC 解禁都写在这里，因为两份文件都存在。这不是我们自己传感器的事件日志。

最近更新

  1. 2024 年，然后是 2026 年 8 月

    PHP Foundation 关于更早迹象的说法

    The Record 报道，PHP Foundation 称这些缺陷的迹象在 2024 年出现，人工智能复查在 2026 年 8 月首次引起警觉。除了 The Record 的转述，我们没有重现那条内部时间线。

  2. 2026 年 10 月 17 日

    禁运期内的 AWS MadPot 尝试

    Amazon Threat Intelligence 称，蜜罐看到一次来自与商业匿名网络有关的地址的 PHP2Shell 利用尝试。AWS 称这发生在公开披露四天前，不清楚利用信息如何流出。AWS 还称不清楚这次尝试在真实系统上是否会成功。

  3. 2026 年 10 月 20 日

    泄露报道与紧急发布预告

    watchTowr 的问答标记为 19:35 UTC 发布，当时预期厂商公告在 10 月 22 日。Tanium 称 10 月 20 日 PHP 在细节泄露后宣布紧急发布，并且 CERT-EU 发布了 2026-018 号通告，建议隔离面向互联网的 PHP 应用。我们没有为这个页面打开 CERT-EU 原文，因此这一句只归于 Tanium。ThreatCluster 称计划外发布于 10 月 20 日宣布，定在 10 月 21 日 14:00 UTC，技术细节在发布前数小时泄露。

  4. 2026 年 10 月 21 日 02:00–08:00 UTC

    解禁前的概念验证

    AWS 称它识别到的最早概念验证大约出现在 02:00 UTC，此后到大约 08:00 UTC，还有来自其他匿名化基础设施的 MadPot 尝试。载荷和基础设施不同，AWS 将其读作多个行为者。技术分析当时仍在进行，真实系统上是否成功被描述为不清楚。

  5. 2026 年 10 月 21 日 03:02 UTC

    Cloudflare 的 WAF 规则已经打开

    Cloudflare 称免费和付费 WAF 客户自 03:02 UTC 起默认受到覆盖。按 Cloudflare 的说法，这大约比公开披露早九个小时；规则自 10 月初起与 PHP Foundation、Wiz 和 OpenAI 一起开发。Cloudflare 称看到了攻击流量，以及针对规则的载荷变化。

  6. 2026 年 10 月 21 日 13:40 与 14:00 UTC

    补丁发布

    ENISA 的联合声明称 PHP 安全团队于 13:40 UTC 发布更新。AWS 称禁运定在 14:00 UTC，发布也发生在那时。php.net、PHP Foundation、CISA 和加拿大网络安全中心都把修复版本确定为 8.5.12、8.4.27、8.3.36 和 8.2.35。Tanium 还提到 downloads.php.net 上的 Windows 构建在 13:47 UTC，以及 CVE-2026-109618 的 NVD 记录在 14:17 UTC 标记为正在分析。我们没有独立核对这两个时间戳。

  7. 2026 年 10 月 21 日当天晚些时候

    政府警报与利用说法

    CISA、ENISA、英国 NCSC 和加拿大网络安全中心发布警报。CISA 称截至发布时尚未观察到利用。加拿大中心称开源报告表明已有概念验证，而该中心当时没有发现主动利用。watchTowr 报告其传感器上的尝试。SecurityWeek 称这些传感器没有显示成功的利用。Expel 在 20:00 UTC 的状态称两个 CVE 都不在 CISA KEV 中，Expel 也没有证实客户遭到利用。AWS 在解禁之后称该问题正在被广泛地在野利用，指的是使用新的概念验证发起的尝试，并在同一篇文章前面的段落里把这一点与真实系统上已被证实的成功区分开。

  8. 2026 年 10 月 22 日

    本站的截止点

    watchTowr 于本日更新的问答仍将 CISA KEV 列为未列入。这些页面依据的是 2026 年 10 月 22 日可以读到的来源。如果之后出现 KEV 增补或已被证实的入侵报告，CISA 和 PHP 项目的公告页优先于这条时间线。

即便各个时钟不完全一致，AWS 得出的实际结论也值得留下：不要假定披露日就是第一次利用的日期，也不要为这种面向互联网的严重缺陷安排一周的窗口。如果这套软件曾经暴露，调查至少要从 10 月 17 日算起。

来源

出站链接将离开本站。本站不托管利用代码。

  1. PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
  2. PHP2Shell: responding to CVE-2026-109618 and CVE-2026-109619 — Tanium
  3. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  4. Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
  5. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
  6. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  7. Joint statement on critical PHP vulnerabilities — ENISA
  8. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  9. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  10. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  11. Critical security issue affecting PHP — UK NCSC
  12. AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
  13. PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
  14. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  15. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research