PHP核心引擎在计划内协调披露前的最后48小时遭“抢跑”：CVE-2026-109618与CVE-2026-109619两个高危远程代码执行漏洞——安全社区统称PHP2Shell——编号先在网上传开，逼迫官方补丁提前整整一天发布。这两个漏洞在CVSS v4.0中评分9.2（严重级别），攻击者不需要任何登录凭证，就能在目标服务器上远程执行任意代码。官方公告的措辞罕见地强硬：没有任何完整的缓解措施，升级是唯一安全的选择。最需要尽快完成这次升级的，是所有对外提供PHP Web服务的对象：政务与公共机构、游戏与内容平台、WordPress类建站、电商，以及数量庞大、还停在停止维护的旧版本上的站点。IT派对知乎
泄露把防守方的窗口期压到了极限。原定的多方协调披露，被10月20日晚开始流传的漏洞编号、错报的满分10分评分和错误的发布时间撕开了口子，随后的48小时连环失控：漏洞消息先泄露，倒逼补丁提前一天上线；攻击演示视频意外流出，修复镜像提前公开。8.5.12、8.4.27、8.3.36、8.2.35四个修复版本在UTC时间10月21日13点35分左右放出，比原定14点的计划还要早。目前漏洞技术细节与 PoC 已公开，并已出现在野利用迹象。新智元Tinywan亚信安全
洞在引擎里，升级插件救不了
这两处缺陷不藏在哪款插件或主题里，而是长在PHP解释器的内存管理里。从根因看，两处缺陷均位于 PHP 请求生命周期的状态管理边界，内存耗尽后，未完成初始化或已被释放的请求内存仍可能被继续析构或残留到后续请求，形成释放后使用。攻击在网站的业务代码执行之前就会被触发，影响范围覆盖所有处理Web请求的PHP环境——PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。利用门槛也被刻意压低：在研究者披露的攻击路径中，不到8MiB的请求数据，处理时却足以耗尽PHP默认128MiB的内存额度，一个不大的表单就能把服务进程推到崩溃边界。换句话说，主题、插件、框架升到多新都没用，只有升级PHP本身才能关闭这扇门。亚信安全IT派对新智元
政府、游戏、建站、电商：谁该排进第一梯队
公共部门已经用脚投票：日本首相高市早苗亲自在X上呼吁尽快应用补丁，来不及就先停站；荷兰议会、荷兰国家安全中心和芬兰中央政府的网站随后临时下线。这类系统可用性优先，宁可短时下线也不能带病运行，对国内同样提供在线服务的政务和公共服务系统是同一个道理。微博
商业侧最集中的连锁反应发生在日本游戏和内容圈：受此安全漏洞影响，目前多款游戏均宣布为保障系统安全将实施维护，BOOTH、Niconico、pixiv等平台的官方网站也同步转入紧急维护。这些平台对外宣传的技术栈里PHP并不显眼，却因服务端依赖了受影响的PHP运行环境而被波及——引擎级漏洞从不看你的主页写的是什么。微博
最危险的一档：8.1及更早，补丁都不会来
建站与电商用户至少还有版本可升，真正的硬仗在另一头。PHP 8.1、8.0、7.4 及更早版本，官方均已停止支持且不再发布修复版本，短期内无法升级的，只能实施网络隔离并限制来源 IP。漏洞的可达范围覆盖PHP 5到8全系列，而存量里恰恰是老版本居多：Censys扫描显示，260万台主机里150万还没打补丁。对这一档用户，“等发行版推补丁”不是选项，要么迁移到仍在受支持的分支，要么按官方建议隔离限源，要么像多国政府一样先下线。亚信安全微博
升级动作本身，也有几个容易踩的坑
修复版已放出，但装完不重启等于没装：常驻的FPM工作进程和mod_php仍会把旧引擎留在内存里，升级后必须重启全部PHP服务进程。短期内无法完成升级的，可以关闭会话上传进度、收紧multipart表单限制、用WAF挡在中间，但这些临时缓解只能降低部分风险，可能直接影响文件上传业务，官方口径是没有完整缓解措施——补丁之外的一切手段都只是买时间。在漏洞窗口期公网上暴露过的站点，除了打补丁，还应排查异常的大表单、集中的工作进程崩溃等痕迹，并更换可能被带出的凭据；PHP还因内存碎片残留存在信息泄露面。由于官方与主要云厂商都尚未披露在野攻击的成功率和受害规模，行业损失清单仍在滚动更新——对任何自查在用PHP的组织来说，等一份权威总结报告的成本，远高于今天花半小时完成升级。亚信安全
