2026年10月21日，PHP官方团队发布了四个计划外安全更新——8.5.12、8.4.27、8.3.36、8.2.35，修补两个CVSS v4.0评分9.2的高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，安全圈统称"PHP2Shell"）。未经身份认证的攻击者只需构造特制HTTP请求，就能让服务器发生内存错误并远程执行任意代码，直接夺取网站控制权。PHP安全团队的公告措辞罕见地强硬：没有任何完整的缓解措施，升级是唯一安全的选择。 对中小站长来说，要回答的只有一个问题：我的站中招没有，怎么修。知乎
泄露把一切提前，为什么不能等
这次之所以紧张，是因为泄露打乱了原本的节奏。两个漏洞今年8月由OpenAI旗下安全团队Calif使用大模型发现，谷歌旗下Wiz几乎同时独立发现，一场持续两个月的多方协同修复原计划在本月下旬才公开。结果10月20日，漏洞细节抢先泄露到了公开论坛，还流出了概念验证视频。 更糟的是攻击者已经动手：一些黑客抢在补丁发布前尝试发动攻击，欧洲多国在更新发布前临时关闭了部分政府网站。知乎·机器之心观察者网
受影响的不只是最新版本。官方披露受影响版本横跨PHP 5.4到8.5，漏洞代码最早可追溯到2012年。 欧盟计算机应急响应小组给出了更宽的评估：从2004年的PHP 5开始的所有版本都可能中招。 漏洞出在PHP引擎处理每个Web请求必经的内存管理和错误处理环节，与上层用了什么框架无关——WordPress、Drupal、Joomla、Magento、Laravel等建站与业务系统只是"间接受害者"，真正的病灶在运行时本身。知乎观察者网亚信安全
连锁反应已经发生。荷兰五个主要政党的网站、部分政府门户和鹿特丹港网站一度暂时关闭，芬兰政府公共网络服务被迫下线，法国内政部把所有网站置于"预防性维护状态"。 而据W3Techs统计，全球约四分之三的站点由PHP驱动，这正是各国反应激烈的原因：截至10月21日，漏洞技术细节与PoC已公开，并已出现在野利用迹象。 监管层面，美国国家安全局（NSA）直接建议无法立即更新的网站关闭服务。 连政府和大平台都选择"拔线"，资源有限、没人专职看服务器的中小网站更没有理由继续观望。观察者网亚信安全知乎·机器之心
自查第一步：找到"真实"的PHP版本
最容易被忽略的坑：命令行里的php -v，和你网站实际用的PHP，很可能不是同一个。 正确做法是执行php-fpm -v确认FastCGI进程的真实版本，或在网站根目录临时放一个只含phpinfo()的页面，从浏览器看实际生效的版本号和配置——看完立刻删掉，phpinfo页面会把服务器内部信息全部抖出去。跑在Docker里的站要逐个容器进去查，平时被遗忘的WordPress容器往往就是重灾区。还有个最省事的自查：按F12打开开发者工具看自家首页响应头，X-Powered-By字段后面若明晃晃写着PHP/7.x，等于把陈旧版本号贴在了脑门上。知乎
用虚拟主机、SaaS建站平台的站长，服务器你根本摸不到，这类环境也可能无法通过自动更新修复漏洞。 动作很简单：直接提工单问服务商"PHP运行时是否已升级到修复版本"，并要求给出书面答复；控制面板里能自助切换PHP版本的，现在就切到已修复的分支。观察者网
自查第二步：对号入座，按分支修复
手里是8.2到8.5分支的，问题最简单：官方已发布8.5.12、8.4.27、8.3.36和8.2.35四个修复版本，并建议所有用户尽快升级。亚信安全
停在8.1及更早分支的要先纠正一个流传中的误解：8.1已结束常规支持，这次官方仅提供有限的源码回移补丁，不等于旧分支恢复长期维护，也不代表所有软件源已更新。 具体路径无非三条：升级到8.2+修复版本、依赖Ubuntu/Debian等发行版的安全更新（部分发行版以原版本号携带回移补丁，以changelog为准）、或购买商业LTS支持，除此之外没有第四个选项。新浪知乎
升级动作完成，不等于修复完成。PHP进程只在启动时载入代码和配置，升级后必须重启php-fpm、Apache等全部常驻worker并复核，否则旧进程仍运行旧代码。 复核时可以用一个新增细节确认补丁真的生效：修复版本引入了max_multipart_body_parts限制，默认1020，专门掐断恶意请求体的内存放大。亚信安全知乎
来不及升级？缓解措施只是绷带
官方立场很明确：没有任何完整的缓解措施，升级是唯一安全的选择。在等补丁的几个小时到几天里能做的，是先把防线补齐：Cloudflare报告在补丁发布前就观测到早期利用迹象，并已紧急上线默认WAF拦截规则。 但套了CDN的站务必自查源站IP有没有泄露——一旦真实IP暴露，攻击者绕过CDN直连源站，防火墙规则形同摆设。 社区流传的另外两招要认清代价：关闭session.upload_progress能切断一条攻击链，但会牺牲上传进度条功能；放开memory_limit虽然避开了"内存耗尽"这个触发点，等于拆掉内存保护，随时可被轻量请求打成拒绝服务。临时措施买的是时间，不是安全。知乎·机器之心知乎
第三步：确认"屋里没进过人"
漏洞在10月20日就已泄露，黑客随即抢跑，打补丁和查入侵的顺序不能反过来。补丁修的是未来的攻击，你要查的是过去有没有人已经进来——专家提醒，必须密切关注攻击者"可能已站稳脚跟"的迹象。 安全厂商给出的排查方向有四个：日志里异常巨大的表单提交和嵌套字段名离谱的multipart请求；请求初始化阶段的内存耗尽错误；worker进程段错误集中爆发；Web进程派生出意料之外的shell子进程——这四个特征同时对应这次漏洞的攻击指纹，值得逐条翻查。观察者网知乎
荷兰NCSC已建立专项仓库，持续更新检测规则与受影响软件清单，可以直接取用。 一旦发现可疑痕迹，处置要超出"重装补丁"的范畴：重置站点与数据库全部凭据、清理可写目录中的陌生文件，最稳妥的做法是从漏洞泄露前的干净备份整体重建。知乎
对中小站长来说，这次事件真正改变的东西是：知道自己跑着什么版本、能在几小时内完成升级，正在从"运维基本功"变成"核心安全能力"。 那些十几年没人登录过的PHP后台，在这个新世界里就是活靶子。今晚就把php-fpm -v敲一遍。知乎
