PHP2Shell爆了三天，你的PHP可能"白升"了
过去三天，大概是 PHP 二十多年历史上最漫长的三天。10 月 21 日官方公告之后，两个 9.2 分 Critical RCE（CVE-2026-109618/109619）炸穿全网。欧洲多国政务网站预防性下线。日本这边，BOOTH、Niconico、pixiv 等官网和游戏连夜宣布紧急维护。更魔幻的是身世——这个被埋了十四年的老洞，是被 AI 挖出来的。知乎知乎微博知乎
先别慌：这不是第二个 Log4Shell。 GitHub 上涌来成千上万的 PoC 脚本，但大多依赖 LFI 当跳板，对原版 PHP 根本不通用。而 360 拿官方默认镜像 `php:8.4.26-apache` 一路打穿到以 www-data 权限执行命令，PHP 核心团队也在默认输入与内存限制的 mod_php 上验证过完整的 HTTP 远程代码执行。更要命的是，亚马逊蜜罐早在 10 月 17 日就抓到了在野利用尝试，比官方披露还早 3 天。翻译成大白话：默认配置下，哪怕站点只跑"hello world"，攻击发生在引擎层，根本轮不到你的业务代码执行。知乎知乎知乎知乎
然后是冷水：你可能升了个"假级"。 最容易踩的三个坑——
CLI 升了 ≠ 站点升了。 命令行的 php -v 和站点实际跑的 FPM/mod_php 可能是两套版本，必须核对站点真正使用的 SAPI。
升完没重启 worker，等于没升。 旧进程还叼着旧代码干活，官方临时防护方案里就写着立即落实措施并重启所有 Worker。知乎
配置缓解只是买时间。 社区流传的"临时方案"很快被安全团队撤回，老老实实升级才是正路。知乎
想走 ini_set 或 .user.ini 的捷径也行不通——官方说得很清楚：不要依赖业务代码中的 ini_set()，也不要依赖 FPM 的 .user.ini 来关闭这条早期会话路径，缓解必须在请求解析前于 php.ini/FPM 池层生效。知乎
安全版本答卷也发你了：8.2 至 8.5 的修复版 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 已在 10 月 21 日一并推出。已停维的更早版本同样中招，宝塔把修复包铺到了 PHP 5、7、8 共 14 个版本分支。别忘了 W3Techs 的口径：可识别服务端语言的网站里 69.3% 跑着 PHP。这回真没有旁观者。知乎知乎知乎
评论区有句话很扎心："在 AI 面前，众生平等。"藏了多年的 bug，AI 一夜翻出来，补丁却还得人一个一个打。现在打开终端：先查站点实际版本，再重启，别只盯着 php -v 自我安慰。
