PHP 高危漏洞已修补

安世加

2026年10月22日 18:00
上海

去阅读

新闻

News Today

10月21日，PHP 官方紧急发布安全更新，修复两个代号 PHP2Shell 的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS v4.0 评分均为 9.2。这不是一次普通的月度补丁：FBI、NSA、CERT-EU、英国 NCSC、加拿大 Cyber Centre 同一天齐发警告，荷兰、芬兰部分政府网站干脆预防性下线，日本首相公开呼吁尽快打补丁、必要时暂停网站服务。一个编程语言的漏洞引发这个级别的全球响应，近几年不多见。

两个漏洞都出在 PHP 请求生命周期的边界上，属于堆 UAF（释放后使用）类内存缺陷。第一个（CVE-2026-109618）利用了内存耗尽时的处理缺陷：当请求触发 OOM，PHP 会提前退出，但此时请求内部数据还没初始化完，清理阶段会把\"半成品\"当正常数据消费。第二个（CVE-2026-109619）更隐蔽：worker 的全局状态在请求结束后没被正确重置，同一个 worker 处理的下一个请求，可能在正常初始化之前就访问到已释放的内存。

攻击者不需要任何账号、不需要网站代码有任何毛病，只要服务器在用受影响版本的 PHP 响应 web 请求，一个特制的 multipart POST 请求就可能打出 RCE。拿到的是 web worker 权限，之后写 WebShell、偷凭据、翻数据库、横向移动、装后门，都是标准动作。

风险最高的部署方式是 Apache 的 mod\_php——已有验证的利用路径在应用代码运行之前就能触发。也就是说哪怕你的网站只是个静态页面套了个 PHP，也照样中招。PHP-FPM、php-cgi、FrankenPHP、LiteSpeed 都在受影响之列。而 PHP 撑着全球约四分之三的网站，WordPress、Drupal、Joomla、Magento、Nextcloud 这些主力应用全在其上，研究人员估计受影响的联网主机可能超过 130 万台。

这次事件里最值得琢磨的一点：漏洞本身已经存在几十年，但一直没人证明能打穿。Wiz 的研究团队说得很直白——把这条利用链完整走通，步骤复杂到\"接近人类研究者能力的极限\"，是前沿 AI 模型把这道门槛大幅拉低，把一个存在多年的老毛病变成了真实可用的弹药。谷歌也确认 Gemini 参与了漏洞发现、利用程序开发、攻击检测和补丁验证的全过程。

\"这些发现堪称 PHP 历史上、乃至整个软件史上最严重的漏洞之一。\"——Wiz 研究团队

攻防两边的 AI 化已经是进行时，但这次的意义不太一样：以前 AI 是让攻击者更快更省事，这次是 AI 把\"理论上存在但没人能利用\"的漏洞变成了实际威胁。你们资产里那些\"老了但没人在意\"的组件，以后不能再按老经验评估风险了。

利用已在野外出现。奇安信 CERT 已确认发现在野利用，10月20日漏洞细节还提前在论坛和社交平台流传过一波。Cloudflare 已为所有客户（包括免费版）部署了针对已知利用向量的 WAF 规则。

修复版本很明确：PHP 8.5.12、8.4.27、8.3.36、8.2.35。几件事按优先级排：

1. 立刻盘点资产——别只查对外网站。PHP 经常藏在后台管理界面、内部业务系统、容器镜像、厂商设备里，这种\"没人知道自己装了 PHP\"的场景才是重灾区。尤其排查 mod\_php。

2. 优先升级对外系统，打上对应分支的修复版本。Linux 发行版和 LTS 厂商提前拿到了补丁，用系统包的看厂商公告即可——主版本号没变不代表没修。

3. 升级后必须重启所有 PHP worker（Apache、PHP-FPM 池），容器要重建重新部署，再用 phpinfo() 确认 web SAPI 实际跑的版本，别只看 CLI。

4. PHP 8.1 及更老版本没有官方修复，只有最小化的源码 backport（7.4/8.0/8.1）。要么找发行版厂商要回移植补丁，要么按英国 NCSC 的建议——修不了的先下线。

5. 暂时打不了补丁的，官方给了缓解项：关闭 session.upload\_progress、限制 post\_max\_size、在 web 服务器层限制请求大小。注意这些只是收窄个别攻击路径，不能替代升级，WAF 也一样。

还有一个容易漏的环节：打补丁不等于清场。如果已经有人进来过，升级只会挡住后来者。补丁之后查一遍 web 目录里新增或被改的 .php 文件、CMS 里多出来的管理员账号、PHP/web 进程拉起 shell 或外连的可疑行为，日志留好。

来源：PHP 官方安全公告

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

安世加为出海企业提供SOC 2、ISO 27001、PCI DSS、TrustE认证咨询服务（点击图片可详细查看）