非 php.net · 非 NVD · 非 CISA

PHP 漏洞追踪

关于 PHP 安全漏洞的非官方简报

English简体中文日本語DeutschFrançaisNederlandsEspañol

安全警报

PHP2Shell：请升级 PHP。这是唯一完整的修复。

CVE-2026-109618 与 CVE-2026-109619 是 PHP 本体中的严重漏洞，未经身份验证即可远程执行代码。PHP 项目已于 2026 年 10 月 21 日为仍受支持的 8.2 至 8.5 分支发布修复。升级后必须重启 PHP。防火墙不能替代升级。

修复步骤

厂商状态

PHP2Shell 厂商状态：谁已修复、谁在排查

这些是厂商关于自己产品的声明，阅读日期为 2026 年 10 月 22 日。发行版里有一个已修复的软件包，并不等于服务器上的每一个 PHP 二进制都来自该发行版。厂商说“尚无已知受影响的产品”，报告的是调查的当前状态，不是永久结论。

最近更新

状态采用厂商自己的措辞。日期是文件日期，并不保证当天晚些时候没有变化。
厂商该厂商怎么说来源日期
Cisco部分产品受影响，修复大多尚未发布。公告 1.4 版（最后更新于 2026 年 10 月 22 日 23:00 GMT）列出 Expressway Series 和 Expressway Select Series 受影响（缺陷 CSCwx37062，计划在 15.5.21 修复，日期待定），以及 Ultra-Reliable Wireless Backhaul（URWB）受影响（CSCwx37073，计划在 27.1.1 修复，2027 年 2 月）。Cisco 说 URWB 需要攻击者已以管理员身份通过认证，并把 CVSS 分数降为 6.6。仍在调查的有：ISE Portal Builder、Catalyst Center、WAN Automation Engine、Ultra Packet Core Converged Policy and Charging、Unified Industrial Wireless Software，以及云服务 CX Cloud、IoT Control Center、Meraki Dashboard 和 Slido。现已列为确认不受影响的包括 Identity Services Engine、Catalyst SD-WAN Manager、Nexus Dashboard Insights、Secure Firewall ASA、FTD 和 FMC、IOS、IOS XE、IOS XR、NX-OS、Webex、Umbrella 和 AppDynamics PHP Agent。PSIRT 称没有察觉恶意利用。没有能解决这些缺陷的变通办法；公告指向 Snort 规则 67359 和 67360。最后更新于 2026 年 10 月 22 日 23:00 GMT
Splunk目前没有已知受影响的产品，三项仍在调查。通告 SVD-2026-1013 将 Splunk Enterprise、Splunk Cloud Platform、Universal Forwarder、Enterprise Security、SOAR、Observability Cloud、AppDynamics PHP Agent 等产品列为不受影响。Splunk On-Call、AppDynamics SaaS 和 Smartlook 仍在调查中。2026 年 10 月 22 日发布
Red Hat部分已修复。RHSB-2026-013 称 Red Hat 正在加快发布修复，一些更新已经可用，更多更新仍在进行。RHEL 10、9、8 以及 OpenShift Dev Spaces 3 被列为直接受影响。标准的 RHEL PHP-FPM 被描述为比 mod_php 更难利用。包括 RHSA-2026:87151（RHEL 9 php）、RHSA-2026:87080（RHEL 8 php）和 RHSA-2026:87079（RHEL 9 php:8.3）在内的勘误点名了两个 CVE。公告称调查仍在进行。2026 年 10 月 21 日公开
Ubuntu受支持版本已修复，包括 Ubuntu Pro 以及回溯到 14.04 的 php5 旧 ESM 构建。Ubuntu 列出的例子：24.04 的 php8.3 为 8.3.6-0ubuntu0.24.04.13，22.04 的 php8.1 为 8.1.2-1ubuntu2.28，26.04 的 php8.5 为 8.5.4-0ubuntu1.5。上游版本号常常不变。升级后要重启依赖 PHP 的服务。博客文章日期 2026 年 10 月 21 日
Debian稳定版已修复。DLA-4848-1：Debian 12 bookworm php8.2 8.2.35-1~deb12u1（Debian LTS）。DSA-6574-1：Debian 13 trixie php8.4 8.4.27-1~deb13u1。10 月 22 日安全追踪器仍把 testing（forky）的 php8.4 8.4.26-1 列为受影响。公告日期 2026 年 10 月 21 日
cPanel对 cPanel 列出的构建已修复。10 月 22 日的文章称 ea-php74 及以上的更新已经发布，包括 ea-php82 8.2.35、ea-php83 8.3.36、ea-php84 8.4.27 和 ea-php85 8.5.12，以及回移植 ea-php74 7.4.33-19、ea-php80 8.0.30-12 和 ea-php81 8.1.34-5。列出的 cPanel 与 WHM 修补版本包括 11.110.0.153、11.134.0.66、11.136.0.50 和 11.138.0.18。早于 7.4 的 PHP 被指向 TuxCare ELS。同一篇文章里的 CloudLinux 表格被明确交给 CloudLinux 自己的状态页。2026 年 10 月 22 日更新
Plesk已修复，旧分支有构建日期方面的限定。Plesk 称 Linux 和 Windows 上 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12 的修复已经可用。生命周期已结束的 7.4.33、8.0.30 和 8.1.34 保持相同版本号；日期为 2026 年 10 月 21 日的构建包含修复。面板自己的 sw-engine 在 Plesk Obsidian 18.0.81 Update 4 和 18.0.80 Update 11 中得到修复。厂商文章引用 10 月 21 日的 PHP 发布
SophosSophos 产品：不受影响。通告 sophos-sa-20261021-php2shell 称没有 Sophos 产品受影响，对这些产品无需采取行动。另有一处：旧的 MyUTM 许可门户运行着受影响的 PHP 版本；Sophos 于 10 月 21 日将其下线，并称日志复查到目前为止没有发现利用证据，复查仍未结束。2026 年 10 月 21 日更新
Broadcom（VMware、Symantec）部分产品受影响，修复正在发布。Broadcom 的回应页面称，审查覆盖了其 IT 环境和产品组合（包括第三方依赖）。企业基础设施中的个别暴露已被缓解，未发现入侵。各部门报告：Enterprise Security Group 有 1 个受影响产品，Identity Management Security 有 4 个，Tanzu 有 3 个；相关团队正在发布修复，详情见 Broadcom 链接的通告。VMware Cloud Foundation、Application Networking and Security（Avi Load Balancer、vDefend）、Agile Operations、Brocade、Mainframe 和 Payment Security 报告无受影响产品。2026 年 10 月 22 日最后更新
Palo Alto Networks受影响，PAN-OS 尚无修复。通告列出 PAN-OS 12.2、12.1、11.2、11.1、10.2 受影响；10 月 23 日修订版给出各版本线热修复预计日期 10 月 26–30 日（尚未发布，见 PAN-OS 页面）。Panorama 和 WildFire WF-500/WF-500-B 受影响，ETA 待定。Cortex XCORE（SaaS）和 WildFire Cloud 已于 10 月 21 日、22 日完成修复。Prisma Access、Cloud NGFW、GlobalProtect App、Strata Cloud Manager、Prisma Cloud 及其他 Cortex 产品列为不受影响。在修复发布前，要求 Threat Prevention 客户启用 Threat ID 543004 和 97622–97625（内容版本 9162 或更高）；这些规则只有在管理接口的入站流量经数据面端口转发并解密检查时才能保护管理接口。Palo Alto 称未发现针对其产品的恶意利用。其 Unit 42 简报称已看到 PoC，且至少有一个欧洲国家政府出于预防将网站下线。2026 年 10 月 21 日发布，10 月 23 日更新
AWSAWS 公告 2026-143-AWS 称 AWS 服务本身不受影响；在所列服务中运行受影响 PHP 的客户可能受影响。Amazon WorkMail：已应用配置层面的控制，升级到 PHP 8.3.36 的目标日期为 10 月 22 日，客户无需操作。Elastic Beanstalk：10 月 21 日发布的 PHP 平台版本 v4.13.12 处理了两个 CVE；包含上游 PHP 修复的后续平台版本目标为 10 月 22 日。启用托管平台更新（Managed Platform Updates）的环境会在下一个维护窗口获得更新，未启用的需要自行更新环境的平台版本。Amazon Linux：商业区域已有更新的 PHP 软件包，非商业区域目标为 10 月 22 日；各软件包状态见 Amazon Linux Security Center。Lightsail：更新的蓝图预计 10 月 21 日提供；AWS 无法原地更新正在运行的实例，需要用更新后的蓝图新建实例并迁移应用。PHP 5.4 至 8.1 没有上游修复，AWS 要求迁移到受支持的分支。2026 年 10 月 21 日 14:30 PDT 发布；20:30 PDT（10 月 22 日 03:30 UTC）最后更新
Hostinger除 VPS 外的所有主机均已修复。Web、Cloud 和 cPanel 主机上 5.2 到 8.5 每个版本都有修复构建，推送于 10 月 22 日 06:44 UTC 完成。VPS 用户需自行更新 PHP。 详情博客更新于 2026 年 10 月 22 日 07:20 UTC
HetznerWebhosting 和 Managed Server 已修复：PHP 7.4 和 8.0–8.5 于 10 月 21 日 17:50 UTC 前完成，5.6 和 7.3 于 10 月 22 日 04:32 UTC 前完成。独立服务器和云服务器由客户自行管理。 详情状态页，2026 年 10 月 22 日
OVHcloud部分已修复。10 月 21 日 17:53 UTC 前所有 Web Hosting 集群上的 PHP 7.4–8.5 已打补丁，更老版本仍在处理中，所有集群前加了 WAF 规则。Bare Metal 和 VPS 用户需自行更新 PHP。 详情状态页和博客，2026 年 10 月 21–22 日
GoDaddy托管产品已修复。Managed Hosting for WordPress、Windows Hosting 以及（自 10 月 22 日 13:30 UTC 更新起）Web Hosting 上所有 PHP 版本均已修补，客户无需操作。VPS 用户需自行更新 PHP。 详情更新于 2026 年 10 月 22 日 13:30 UTC
SiteGround已修复。PHP 官方修复已应用到所有 SiteGround 服务器；此前在发布前已通过服务器层面的缓解措施在所有受支持版本上关闭受影响功能。客户无需操作。 详情博客更新于 2026 年 10 月 22 日 12:00 UTC
IONOSIONOS 自营平台（Web Hosting、Managed WordPress、MyWebsite 8、Managed Nextcloud、HiDrive Next）已修复，这些平台的客户无需操作。VPS 和独立服务器客户需自行安装更新。 详情新闻室文章，2026 年 10 月 22 日
Bluehost部分已修复。修补版本正在部署，现已列出：cPanel 8.2–8.5 及 7.4–8.1 回移植版、CloudLinux 与 TuxCare alt-php 的 5.2–8.5 回移植版、Plesk、发行版软件包。phpinfo() 显示的版本与列表一致或更新即已修补；自管 VPS/独立服务器需执行软件包更新。未给出完成时间。 详情状态页更新于 2026 年 10 月 22 日 10:00 美东时间（14:00 UTC）
Kinsta已修复。PHP 7.4 和 8.0–8.5 的修补版本已在整个平台推送；事件于 10 月 22 日 08:26 UTC 标记为已解决，Cloudflare 防火墙规则继续保留。客户无需操作。 详情状态页于 2026 年 10 月 22 日 08:26 UTC 标记已解决
DreamHost部分已修复。PHP 官方修复已应用到大部分网络，剩余服务器组在做最后测试，期间缓解措施继续生效。PHP 8.1 及更早版本在 Extended Support 构建发布前依靠缓解措施。 详情状态页更新于 2026 年 10 月 22 日 11:24 UTC
Pantheon已修复。所有线上生产站点均已修补，包括 PHP 8.2–8.5 及 LTS 版本 8.1 至 5.6；付费预发布环境也已修补，免费/沙盒环境在 24–48 小时内完成。网络层缓解措施继续保留，客户无需操作。详情状态页更新于 2026 年 10 月 22 日 02:08 UTC
Cloudways已修复。所有活跃的 Autonomous 和 Flexible 服务器已完成补丁推送，覆盖 PHP 5.6 及 7.4–8.4；支持团队正联系少数需要额外协助的客户，其他客户无需操作。详情状态页更新于 2026 年 10 月 22 日 10:20 UTC
Rocket.net已修复。PHP 5.2–8.5 补丁分批推送后事件已标记解决；回移植版本仍可能显示 8.3.35 或 8.4.26，请看 Build Date 是否为 10 月 21 日或更晚。另有 Cloudflare Enterprise WAF 规则防护。 详情状态页于 2026 年 10 月 22 日 10:36 UTC 标记已解决
InMotion Hosting部分已修复。共享主机和独立服务器已升级 PHP；VPS 集群仍在升级，未给出完成时间。CWP/CWP Admin 端口在 CWP 发布补丁前保持限制。 详情状态页更新于 2026 年 10 月 22 日 10:24 UTC
Namecheap部分已修复。除 4 台服务器（71、72、105、312）外，共享和经销商服务器均已修复；EasyWP 已更新并解除 HackGuardian。自管 VPS 和独立服务器需自行更新 PHP。 详情状态公告更新于 2026 年 10 月 22 日 13:33 UTC
HostGator部分已修复。修补版本正在部署，现已列出（与 Bluehost 相同）：cPanel 8.2–8.5 及 7.4–8.1 回移植版、CloudLinux 与 TuxCare alt-php 的 5.2–8.5 回移植版、Plesk、发行版软件包。自管 VPS/独立服务器需执行软件包更新。未给出完成时间。 详情状态公告更新于美国东部时间 2026 年 10 月 22 日 11:00（15:00 UTC）
Liquid Web部分已修复。正在部署修补后的 PHP：cPanel 和 Plesk 的 8.2–8.5 及 7.4–8.1 回移植版，CloudLinux 的 5.2–8.5 回移植版，Windows Plesk 的 8.2–8.5。若 phpinfo() 显示未修补版本，请在控制面板执行软件包更新。 详情状态页更新于 2026 年 10 月 22 日 14:33 UTC
Nexcess部分已修复。正在部署修补版本，列表与 Liquid Web 相同（cPanel 8.2–8.5 及 7.4–8.1 回移植版、CloudLinux 5.2–8.5、Plesk）；cPanel/WHM 用户可通过更新 cPanel 并运行 yum update 自行修补。未给出完成时间。 详情状态页更新于 2026 年 10 月 22 日 14:34 UTC
hosting.com（A2 Hosting）部分已修复。cPanel/Plesk 共享及托管服务器正为 PHP 5.2 及以上推送补丁；Enhance 面板 7.4 及以上已修补。已修补版本在 phpinfo() 中显示 10 月 21 日构建日期。自管 VPS 需自行更新。 详情状态事件更新于 2026 年 10 月 22 日 09:09 UTC
WP Engine已修复。补丁已在全平台部署并应用到各站点的 PHP 版本；列出的版本包括 7.4.33.17、8.2.35、8.4.27 和 8.5.12。客户无需操作。 详情状态页：部署已完成（据第三方追踪页约为 2026 年 10 月 22 日 01:19 UTC）

如何理解“已修复”

Ubuntu 24.04 的已修复软件包仍然是 PHP 8.3.6，变的是软件包修订号。Plesk 已修复的 7.4、8.0 和 8.1 构建保持版本号，改变的是构建日期。拿 php -v 和 8.3.36 比较会把这些主机标错。版本检查器只比较上游发行号。它认不出回移植。请使用厂商公布的软件包字符串或构建日期，然后重启回答 HTTP 的那个 SAPI。

没有知名网站被入侵的公开披露

截至 2026 年 10 月 22 日，为本页审阅的来源中，没有一份公开披露称某个知名网站经由 PHP2Shell 被入侵。路透社在引用 Cloudflare 时报道了数百万次利用尝试，并描述欧洲和其他地方的政府网站下线，以及三菱 UFJ 金融集团和日本财务省的暂时中止，原因是运营者忙于处置并采取紧急措施。Sophos 称其已下线的 MyUTM 门户到目前为止没有利用证据。AWS 称不清楚它看到的尝试在真实系统上是否会成功。CISA 称截至 10 月 21 日的警报发布时尚未观察到利用。没有点名受害者的披露，并不能证明没有入侵发生。它只说明这些来源发表了什么。

微软 Azure App Service

Linux 内置镜像中受支持的 PHP 已修复。App Service 团队表示，带 PHP 8.2.35、8.3.36、8.4.27、8.5.12 的镜像已于 2026 年 10 月 21 日推送到 Latest 和 Standard 平台发布通道，Extended 通道最后才有。自定义容器、自带的 PHP、已停止支持的 PHP 和基于 Alpine 的 WordPress 镜像都不会修复。操作步骤见 Azure App Service 页面。

评分说明：Azure 的公告引用的是 PHP 安全团队给两个 CVE 的 CVSS v4.0 9.2 分，以及 10 月 21 日 14:00 UTC 的发布时间。NVD 给 CVE-2026-109618 的主评分是 CVSS v3.1 9.8（NVD）。说的是同一个漏洞，只是 CVSS 版本不同。

来源

出站链接将离开本站。本站不托管利用代码。

  1. Vulnerabilities in PHP affecting Cisco products: October 2026 — Cisco
  2. Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Splunk Products - October 2026 (SVD-2026-1013) — Splunk
  3. 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
  4. RHSB-2026-013 php2shell request-handling memory corruption — Red Hat
  5. php2shell — PHP critical vulnerability fixes available — Ubuntu
  6. Critical PHP security release — CVE-2026-109618 and CVE-2026-109619 — cPanel
  7. Remote code execution in PHP shipped with Plesk — Plesk
  8. Advisory: PHP2Shell vulnerabilities (sophos-sa-20261021-php2shell) — Sophos
  9. Broadcom Response to PHP2shell Vulnerabilities (last updated 22 October 2026) — Broadcom
  10. Impact of critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks products — Palo Alto Networks
  11. Threat brief: critical vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Palo Alto Networks Unit 42
  12. Cloudflare sees millions of exploit attempts after PHP disclosure, 22 October 2026 — Reuters (syndicated text)
  13. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  14. Critical PHP security release: what it means for Azure App Service on Linux — Microsoft Azure App Service team
  15. CVE-2026-109618 — NVD
  16. CVE-2026-109618 — NVD
  17. CVE-2026-109618 — NVD
  18. CVE-2026-109618 — NVD
  19. CVE-2026-109618 — NVD
  20. CVE-2026-109618 — NVD
  21. CVE-2026-109618 — NVD