PHP2Shell高危漏洞爆发！全球七成网站受威胁：安全不能只靠事后救火

国舜科技

2026年10月23日 10:07
北京

去阅读

代号PHP2Shell的高危PHP漏洞席卷全球，源于底层内存管理缺陷，无需身份认证即可实现远程代码执行，欧美多国已发布紧急预警、部分网站临时关停，亚洲政企单位同步开展资产排查加固。作为支撑全球约70%网站的编程语言，PHP的安全风波，再次敲响源代码安全治理的警钟。

事件复盘：一个底层漏洞搅动全球互联网

近期PHP曝出代号PHP2Shell的严重高危漏洞（CVE‑2026‑109618、CVE‑2026‑109619），漏洞根源是PHP内核内存管理处理缺陷，在内存耗尽、内存释放复用场景下产生内存破坏问题。攻击者只需构造特殊恶意HTTP请求，无需账号密码，就有可能实现远程代码执行，直接接管服务器权限，窃取业务数据、植入后门、横向渗透内网，危害等级CVSS高达9.2分。

受影响版本覆盖PHP 8.5.x＜8.5.12、PHP 8.4.x＜8.4.27、PHP 8.3.x＜8.3.36、PHP 8.2.x＜8.2.35，大量政企官网、电商、内容管理系统（WordPress、Drupal 等）均处在风险范围内（PHP 8.1及更早的已停止维护分支同样受漏洞影响，但不会获得官方补丁，需通过迁移或商业回溯支持解决）。

漏洞曝光之后，全球网络安全进入应急状态：欧美安全机构发布最高级别预警，部分公共网站选择临时关停避险；亚洲众多政企、金融单位紧急启动资产摸排，全面排查 PHP 业务系统，落实补丁升级与加固处置，全球攻击尝试数量持续走高。

值得警惕的是：该漏洞触发于PHP内核请求处理阶段，早于业务代码执行，传统WAF、业务层权限校验很难完全拦截。即便业务代码写得足够严谨，只要底层 PHP 版本存在缺陷，就面临被攻陷的风险。

官方已经发布对应安全补丁，但现实困境摆在企业面前：大量存量业务系统改造升级存在兼容性风险，很多历史PHP项目长期缺少安全审计，除了本次PHP2Shell，代码中还潜藏SQL注入、权限越权、配置错误等大量历史遗留风险。

补丁只是解决单点漏洞，真正的安全，需要从底层组件到业务源代码建立完整安全治理闭环。

安全启示：安全治理要前置到代码阶段

PHP2Shell事件给所有研发、安全团队带来几点现实启示：

1. 第三方组件风险不可忽视：我们高度关注自研代码漏洞，却常常忽略底层语言、开源组件的内核缺陷，基础软件漏洞一旦爆发，影响面是规模化的；

2. 事后打补丁不等于安全闭环：升级补丁是应急手段，但很多政企存量系统受业务约束无法快速升级，需要配套风险检测、访问收敛、持续监控多道防线；

3. 传统安全工具存在短板：传统SAST扫描工具误报高、只做告警输出，缺少AI研判、修复指引、复测闭环，海量告警下安全人员很难快速定位真正风险；

4. 安全不能只靠运维应急救火：必须左移到开发编码、代码提交环节，在代码上线前完成风险识别，构建从检测、研判、修复到复验的完整链路。

企业当下应急防护建议

针对PHP2Shell漏洞，建议各单位尽快落实如下处置动作：

1.优先升级官方安全补丁：将PHP升级至8.5.12/8.4.27/8.3.36/8.2.35及以上安全版本，升级前做好兼容性测试与回滚方案。

2.临时缓解手段：关闭session.upload\_progress功能；网关层限制multipart/form-data恶意请求；老旧停止维护的PHP版本，做好网络隔离、白名单访问控制。

3.全面资产排查：梳理全部PHP业务资产，统计版本、部署环境，重点排查Apache mod\_php等高风险部署模式。PHP-FPM、php-cgi、LiteSpeed等常见运行模式同样在影响范围内，只是利用路径和条件存在差异。

4.安全监测审计：监控PHP进程异常崩溃、异常子进程、网站新增可疑脚本，留存Web、PHP访问日志，出现异常第一时间隔离处置。

5.常态化源代码审计：借本次事件契机，对存量PHP业务开展源代码安全审计，挖掘SQL注入、越权访问、敏感信息泄露等业务层漏洞，做到隐患早发现早处置。

注：临时配置仅作为缓解手段，不能替代官方补丁升级。

构建DevSecOps闭环，应对代码安全威胁

漏洞不会消失，未来无论是编程语言内核、开源组件，还是自研业务代码，新的安全风险还会持续出现。单纯依赖漏洞爆发后的应急抢修，永远处于被动。

国舜CodeSentinel AI（AI代码安全检测平台），面向研发全流程打造智能代码安全治理闭环，不止做简单漏洞扫描：

多语言统一检测

支持PHP、Java、Python、Go、C/C++ 等主流语言，覆盖OWASP Top10、CWE全套规则，通过语法、数据流、调用链分析精准挖掘代码层风险；

AI智能研判降噪

依托Security Agent智能体能力，结合代码上下文自动甄别误报，输出漏洞根因、自然语言风险解读、可直接落地的代码级修复方案，大幅降低安全人员研判压力；

完整漏洞治理闭环

实现漏洞发现‑AI分析‑开发修复‑复测‑关闭全流程管理，修复建议直达开发人员，把漏洞修复成本大幅降低；

深度融入DevSecOps

支持IDE、CI/CD流水线接入，编码、提交阶段就完成安全门禁，做到安全左移；私有化部署模式适配政企、金融信创环境，满足等保2.0、金发8号等合规审计要求。

从组件底层风险，到自研业务代码缺陷，通过统一接入、统一检测、统一证据、统一治理、统一交付，助力企业把安全能力嵌入软件开发全生命周期，不再疲于应对一次次漏洞应急。

拓展阅读●●

国舜ASPM应用安全治理平台入选《AI+网络安全全景图》

双重认可！国舜科技获授NVDB‑CAVD技术支撑单位，汤志刚受聘库专家

强强联合！国舜科技携手北京交通大学共建软件与人工智能系统安全研究中心