PHP紧急修复高危漏洞PHP2Shell

PHP 维护团队于周三紧急发布计划外安全更新，修复语言核心引擎中的两个严重漏洞。这两个漏洞统称为 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619），在 CVSS v4.0 评分中均高达 9.2 分。攻击者无需任何账户权限，即可在目标 Web 服务器上直接执行代码。

目前官方已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中完成修复。漏洞信息在原定发布日前一天发生泄漏，促使官方提前发布了补丁。

由于漏洞存在于 PHP 运行时核心而非个别上层应用中，影响范围极广。安全机构 Wiz Research 指出，PHP 支撑着全球约 70% 的网站，过去十年内从 5.4 开始的所有 PHP 版本均受其影响。

PHP 紧急修复高危漏洞

多国政府采取紧急断网防护

漏洞曝光后，荷兰和芬兰政府机构已预防性下线了部分网站。欧洲、澳大利亚、日本与英国的网络安全部门接连发布警报，敦促网站管理员立即升级或将系统断网。荷兰网络安全机构、荷兰国会二院以及荷兰国家公共卫生与环境研究所均一度关闭官方网站。英国国家网络安全中心（NCSC）同样建议，若无法立即完成修复，应优先将系统下线隔离。

Cloudflare 首席技术官 Dane Knecht 表示，补丁发布前已监测到早期攻击迹象，并强调防火墙规则仅能作为权宜之计。

影响组件与旧版本应对

该漏洞影响 PHP-FPM、带有 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。PHP 官方团队表示，mod_php 风险最高，攻击者可通过未经认证的请求在任何应用程序代码运行前触发利用。此外，攻击者还可读取工作进程内存，这可能导致密码、API 密钥和证书泄露。

对于已停更的 PHP 8.1 及更早版本，官方未提供完整正式发行版，但由于危害严重，PHP 团队为 7.4、8.0 和 8.1 提供了轻量源码反向移植补丁。官方提醒，仅升级 WordPress 等 CMS 框架无法解决问题，必须升级底层的 PHP 运行时。

AI 辅助漏洞挖掘

这组缺陷由 Wiz、Calif 以及 OpenAI Codex 安全团队联合发现。相关缺陷代码在 PHP 中已存在超过十年，Wiz 将 PHP2Shell 的破坏力比作 Heartbleed 和 Log4Shell，并指出前沿 AI 模型大幅降低了将陈旧代码漏洞转化为可用利用工具的门槛。PHP 核心开发者 Gina Peter Banyard 强调，唯一的缓解方案就是彻底修补或升级 PHP。