2026-10-24 15:42:25 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

PHP 突发两枚核心级 RCE：CVE-2026-109618 / -109619

Ots安全

2026年10月21日 13:02
广东

去阅读

威胁简报

恶意软件

漏洞攻击

导语：一场发生在补丁之前的泄露

2026 年 10 月 20 日，两枚据称存在于 PHP 解释器核心的远程代码执行（RCE）漏洞，在原本计划的协调披露日期之前意外泄露到公开渠道。漏洞编号为 CVE-2026-109618 与 CVE-2026-109619。

PHP 官方随后发布预警，将两漏洞定为 CVSS v4.0 9.2，并把原定更晚的安全更新提前到 2026-10-21 14:00 UTC 紧急发版。在补丁落地前的这段「空窗期」，防守方面临一种典型困境：漏洞真实存在、影响面极广，但触发细节、影响版本、修复版本全部尚未公开——你既不知道敌人怎么打，也暂时没有官方补丁可打。

这正是本文要厘清的：到底已知什么、尚未证实什么、以及此刻能做什么。

一、事件速览

字段	现状
漏洞编号	CVE-2026-109618、CVE-2026-109619
类型	远程代码执行（RCE），位于 PHP 核心运行时
官方严重度	CVSS v4.0 9.2（PHP 官方口径）
泄露方评级	CVSS 10.0（watchTowr 与社媒泄露帖所用，未说明评分版本）
计划修复	2026-10-21 14:00 UTC 紧急发版（官方保留提前发版权利）
在野利用	截至发稿未确认；不在 CISA KEV 目录
公开 PoC	暂无；技术细节、攻击向量均未公开

二、漏洞是什么：已知与未知的边界

已知（来自 watchTowr 及后续官方确认）：

两枚漏洞均为 PHP 核心的远程代码执行缺陷，意味着攻击者在特定条件下可让运行 PHP 的服务器执行其指定的指令，极端情况下可接管服务器。
漏洞编号为 CVE-2026-109618 与 CVE-2026-109619，二者出现在同一份安全公告中。
安全公司 watchTowr 公开表示「可以确认这些漏洞是真实的」，并称已复现 CVE-2026-109618，但出于敏感性，在补丁可用前不公开技术细节。
PHP 官方将两漏洞评定为严重（critical），CVSS v4.0 得分 9.2。

未知（截至发稿，官方与研究者均未披露）：

具体触发点

：涉及 PHP 的哪个函数、扩展或配置，没有任何公开说明。
* 影响版本

：PHP 官方公告未列出受影响版本；「影响 PHP 5 起全部版本」的说法仅来自泄露帖与 watchTowr，属未证实传闻。
* 攻击向量

：是否仅凭一个普通 Web 请求即可触发、是否依赖特定配置，均未知。
* 修复版本

：随 10-21 安全更新一并公布，发稿时未公开。

本文增补提示：多名研究者（如 Florian Roth）公开表示，预计只有受支持的 PHP 8 分支会收到补丁，已停止维护的 PHP 5 / 7 可能永远拿不到官方修复。这意味着大量遗留系统将处于「已知漏洞、无补丁可打」的被动状态。

三、事件脉络：从社媒泄露到官方提前发版

梳理时间线（均为 UTC）：

10-20 约 15:20

— Hacker News 上一个匿名帖（账号 petecooper）称，两枚 PHP RCE 即将披露，号称影响 PHP 5 起全部版本、CVSS 10.0。该帖随后被删除，但截图已在 X 与 Mastodon 扩散。发帖者本人承认「没有证据」，信息仅基于对其信源的信任。
2. 10-20 当日

— watchTowr 确认漏洞「真实」，称已复现 CVE-2026-109618，但暂不公开细节；其 CEO Benjamin Harris 表示原计划披露窗口为「周四 11:00 ET」。
3. 10-20（周二）

— PHP 官方发布提前预警：两漏洞 CVSS v4.0 9.2，定于 10-21 14:00 UTC 紧急发版，并保留「若细节公开或出现在野利用则提前发版」的权利。
4. 10-21 14:00（待发生）

— 官方安全更新发布；影响版本与修复版本随更新公开（官方亦可能提前）。

本文增补：多家媒体（BleepingComputer、Ars Technica、Qualys、Huntress 等）已独立报道上述官方公告与 watchTowr 表态，事件真实性已获多方印证。中文安全社区方面，慢雾（SlowMist）亦于 10-21 发布预警，建议机构排查公网暴露的 PHP 服务、并在补丁发布后及时升级。

四、影响范围与尚未平息的争议

覆盖面有多大？
PHP 是 Web 的底层积木，驱动着 WordPress、Drupal、Joomla、Magento 以及大量内部工具。公开数据称 PHP 支撑约 75%–77% 的网站；有研究者估计约 130 万台联网主机可能受影响。正因覆盖面如此之广，这次事件被多家机构定性为「基础设施级」风险。

三处关键争议（均尚未被官方最终确认）：

版本范围争议

：泄露帖与 watchTowr 称影响 PHP 5 / 6 / 7 / 8，但 PHP 官方公告未确认受影响版本。考虑到 PHP 5、7 早已 EOL，即便传闻属实，这些版本也很可能没有官方补丁——遗留系统将长期暴露。
* 严重度分歧

：泄露方与 watchTowr 使用 CVSS 10.0，PHP 官方使用 CVSS v4.0 9.2。两者评分体系与口径不同，9.2 才是官方权威值；10.0 应视为未证实的传闻数字。
* 「提前发版」抢跑

：原定周四披露，因泄露提前到周三。这种「embargo 破裂」被普遍视为防守方的坏消息——攻击者可利用「补丁落地前的时间差」抢先武器化。

本文增补：社区已给这组漏洞起了绰号 php2shell——这个名字的潜台词很直白：攻击者向网站发一个请求，就能在脆弱服务器上拿到一个 shell。目前尚无公开可用的利用代码，但已有研究者预告会在 embargo 解除后放出动手实验环境（lab），且有安全厂商警告「公开 PoC 可能在更新发布后迅速出现」。

五、php2shell 攻击链（逻辑骨架，不含可利用细节）

下面只展示攻击逻辑与阶段，刻意不包含任何可利用细节、触发条件或复现步骤——这是安全研究合规表达的底线。

攻击者

锁定一台公网暴露、尚未修补的 PHP 应用；
2. 向其可达的 PHP 端点发送特制请求；
3. 触发 RCE，在 Web 服务器进程内执行攻击者指令；
4. 取得 Web 服务器的初始立足点；
5. 进而横向移动、建立 C2、窃取数据、尝试持久化。

对应的 ATT&CK 技战术包括 T1190（利用面向公网的应用）与 T1203（利用执行）。需要强调的是：漏洞位于解释器运行时本身，而非某个你主动引入的依赖包——任何触及解释器的请求路径都可能是候选触发点。在补丁与代码差异（diff）公开之前，防守方无法构建精确的检测特征，因此「收敛暴露面 + 快速打补丁」是目前最可靠的控制手段。

六、防御与处置：补丁前缓解 + 补丁后闭环处置

补丁落地前的缓解动作（立刻做）：

资产盘点

：列出环境内每一台 PHP 实例，记录主版本与 SAPI（PHP-FPM / mod\_php / php-cgi），包括躲在第三方软件里的那部分；
* WAF 虚拟补丁

：开启并调优，监控异常的 PHP 请求模式；
* 隔离暴露面

：把 EOL 的 PHP 5 / 7 与内网应用从公网挪走，非必要系统暂停公网访问；
* 进程监控

：重点盯防 PHP worker（php-fpm / php-cgi / mod\_php）异常派生出的 shell、解释器或下载工具（sh / bash / cmd / powershell / python / curl / wget 等）；
* 预演升级

：把更新流程提前跑通，确保补丁一发布就能立即部署。

补丁落地后的闭环处置动作：

发布即升级

，不走常规维护窗口，按紧急变更处理；
* 全量校验

补丁覆盖，尤其容易遗漏的容器化 PHP 部署；
* 留存升级前后日志用于溯源；
* 对 EOL PHP 制定迁移或强补偿控制计划；
* 持续跟踪公开 PoC 与在野利用信号。

本文增补：有安全厂商预警，公开 PoC 可能在更新发布后极短时间内出现，并建议把「补丁发布即升级」作为硬性 SLA。对支付、电商等涉及卡数据的系统，及时修补还直接关系到 PCI DSS 4.0 等合规要求。

七、真实性核实（交叉验证结论）

本工作流对原始 FAQ 的关键说法做了多源交叉核实，结论如下：

已证实（≥2 家独立信源一致）：

存在两枚 PHP 核心 RCE 漏洞，编号 CVE-2026-109618 / -109619；
PHP 官方将其定为严重，CVSS v4.0 9.2；
紧急发版时间窗口为 2026-10-21 14:00 UTC，官方保留提前发版权利；
watchTowr 确认漏洞真实、称已复现 CVE-2026-109618，并暂停公开细节；
截至发稿，无确认的在野利用，漏洞不在 CISA KEV。

尚未被官方证实 / 存在分歧：

「影响 PHP 5 至 8 全部版本」——官方公告未列受影响版本，属传闻；
「CVSS 10.0」——与官方 9.2 口径不一致，应视为未证实；
原定披露日期（泄露帖称 10-22，watchTowr 称周四 11:00 ET）——已被 PHP 官方 10-21 发版窗口覆盖；
流传的「PHP2Shell 演示视频可在多款 CMS 上执行代码」——来自未确认报告，按未证实处理；
具体触发函数 / 扩展 / 配置、攻击向量、修复版本——全部待 10-21 官方更新公布。

参考来源

原始 FAQ（watchTowr，最早信源，2026-10-20）：https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
PHP 官方安全公告 / ANNOUNCE 邮件列表（CVSS 9.2、10-21 14:00 UTC 发版）
BleepingComputer、Ars Technica、Qualys、Huntress、Secborn、Shield53、Aviatrix 等后续报道（2026-10-20 ~ 10-21，交叉核实官方公告与 watchTowr 表态）
慢雾（SlowMist）安全预警（2026-10-21，中文信源）
NVD：https://nvd.nist.gov/vuln/detail/CVE-2026-109618 · https://nvd.nist.gov/vuln/detail/CVE-2026-109619
CISA KEV：https://www.cisa.gov/known-exploited-vulnerabilities-catalog

END