2026年10月21日晚，PHP官方发布了一次计划外的安全更新，一口气推出8.5.12、8.4.27、8.3.36、8.2.35四个版本，修复CVE-2026-109618与CVE-2026-109619两个严重远程代码执行漏洞，CVSS v4.0评分均为9.2，安全社区将这组漏洞命名为「PHP2Shell」。 攻击者不需要任何账号密码，只要向运行受影响PHP的Web服务发送一个特制HTTP请求，就能以Web进程的权限执行任意代码，直到服务器被完全接管。 按OpenAI披露的说法，PHP驱动着全球约70%的网站，以及无数企业内部系统和政府门户，这场修补因此是全球规模的。 PHP官方的表态罕见地直接：临时缓解措施并不完整，升级到修复版本是唯一的安全选择。天融信知乎机器之心
为什么"代码没写错"也可能被攻破
这两个洞不在任何网站的业务代码里，而在PHP引擎自己的两条基础路径上。其一关联内存管理：当一个请求恰好在特定时机触发了PHP的memory_limit限制时，部分初始化的内部数据会被遗留，随后被当作有效数据处理，造成内存损坏。 其二关联错误处理：致命错误在错误的时间点发生时，worker的全局状态仍指向上一个请求的内存区域，后续请求在同一个进程中复用了已释放的内存，构成教科书式的释放后重用。机器之心
安全研究机构的隔离复现给出了直观结论：在无凭据、无应用层缺陷的前提下，仅通过标准HTTP请求就实现远程命令执行，连续三次复现成功。 这意味着影响面远超"装了PHP的那几台服务器"——WordPress、Drupal、Magento、Laravel这些常见CMS和框架都跑在PHP上，不少控制面板和第三方软件也内置了PHP。威努特安全网络Akamai
AI先找到洞，攻击者却没等补丁
发现这对漏洞的不是传统意义上的红队。据OpenAI披露，其内部安全研究团队Calif在今年8月于「Patch the Planet」计划下，使用GPT-5.6 Sol对PHP代码库进行安全审计时发现了这两个漏洞；几乎同一时间，Google旗下云安全公司Wiz也独立发现了同样的问题。 Wiz同时指出，相关缺陷已在PHP代码中存在十余年，AI显著降低了分析复杂漏洞、验证其可利用性的门槛。 OpenAI把这轮历时两个月的协调披露称为"防御者窗口"，但限定也写在同一句话里：据他们所知，前沿AI比攻击者更早发现了这些漏洞。机器之心威努特安全网络Behaviour
但计划赶不上变化。按安全公司Sansec整理的时间线，8月11日Calif向PHP正式报告、协调披露启动，8月24日Wiz Research独立报告，而10月20日细节在安全圈泄露，watchTowr确认可打出RCE，补丁正式发布前Cloudflare已报告观测到早期攻击。 监管层的反应同样剧烈，美国国家安全局直接建议无法立即更新的网站关闭服务。 芬兰、法国、荷兰等国率先将部分政府服务主动下线，日本多家航空、金融、消费品及游戏企业相继宣布服务中断，阿里云、腾讯云也在事件曝光后要求客户尽快完成版本升级。Behaviour机器之心华尔街见闻
站长自查：第一步别只看 php -v
自查第一步是查对进程。php -v查的是命令行里PHP的版本，而真正在处理网站请求的是另一个进程php-fpm，两者完全可以是两个不同版本的PHP；跑在容器里的站要进容器查，托管在面板上的站要看面板里的运行时。 版本覆盖上，这组漏洞可能影响PHP5及之后的所有版本，过去十余年的主流部署几乎全部在名单上。 对照修复线自查：8.5系列低于8.5.12、8.4系列低于8.4.27、8.3系列低于8.3.36、8.2系列低于8.2.35，以及8.1系列及更早版本，都算受影响。Kainy的技术分享天融信华尔街见闻
麻烦在于8.1及更早分支已停止常规支持，官方没有可维护的独立二进制补丁。老站只剩三条路：升级到上述四个修复版本、采用Linux发行版推送的安全更新，或者购买商业LTS服务，此外还得检查对外响应头里有没有把版本号明晃晃写在X-Powered-By里的习惯——这等于把门牌号告诉攻击者。
暂时升不动：把临时措施用对
能升的今天就去升。修复版本已在原定时间之前提前释出，各大发行版的软件包目前正在陆续到达，Ubuntu、Debian、Red Hat的补丁包与容器镜像都在跟进。 改完php.ini务必重启或重载PHP服务并验证修复真正生效——PHP配置只在进程启动时读取一次，改了文件不重启等于没改。Tinywan
确实升不动的系统，按工信部NVDB平台紧急提示的临时措施处置：临时下线、关闭会话上传进度功能、网络隔离或访问限制，同时加强网络安全监测，及时更换账号、口令和密钥等凭证。 也有从业者建议把memory_limit调成不限制以绕开内存耗尽的触发路径，但这等于拆掉内存护栏，攻击者用简单流量就能把服务器内存吃满，终究只是绷带。华尔街见闻Kainy的技术分享
补丁之后，风险没有归零
公开研究目前证实可达成完整利用的是Apache的mod_php部署，PHP-FPM部署的限制条件较多、尚未见到完整利用链。 但这不是观望的理由：Cloudflare称，其在PHP漏洞正式披露前已观测到针对客户的攻击流量。 而且即便代码执行没有得手，利用过程反复触发内存耗尽与worker重建，同样能把站点可用性打穿。另一层衍生风险是蹭热点的钓鱼，有安全研究者警告攻击者会诱导用户点击虚假"补丁链接"或提交账户信息——补丁请以php.net与发行版官方源为准，任何来路不明的"修复工具"都不要跑。威努特安全网络Foresight News华尔街见闻
