两个被称为"PHP2Shell"的严重PHP漏洞暴露了互联网的大部分

2026年10月21日，在安全研究人员披露两个被统称为"PHP2Shell"的严重远程代码执行漏洞后，PHP项目发布了该语言的补丁版本。这些漏洞被追踪为CVE-2026-109618和CVE-2026-109619，由云安全公司Wiz Research发现，该公司在其公开报告中表示，感谢组织Calif和OpenAI为发现、协调和补丁验证做出的贡献。

这两个漏洞的作用

Wiz表示，这两个CVE实际上包含了四个不同的底层漏洞。CVE-2026-109618涵盖了PHP会话上传进度反序列化器中的一个释放后使用漏洞，该漏洞可被滥用于远程代码执行，以及一个相关漏洞，可以在没有身份验证的情况下从运行的PHP工作进程泄漏内存。CVE-2026-109619涵盖了PHP致命错误回溯处理中的释放后使用漏洞，以及OPcache（PHP的共享内存字节码缓存）中的一个单独的类型混淆漏洞。

据Wiz称，两个问题都位于几乎每个PHP请求都会经过的代码路径中：内存管理和错误处理。PHP基金会在SecurityWeek媒体报道的评论中提出了相同的观点。

发现时间线

Wiz的研究团队——在其博文中被命名为Sagi Tzadik、Shir Tamari、Nir Ohfeld和Tomer Schwartz——表示它在2026年8月19日发现了第一个漏洞，并在随后的两天内确认了针对WordPress和Drupal安装的可用远程代码执行漏洞。该团队在2026年8月24日向PHP安全团队报告了其发现。公开披露和相应的补丁于2026年10月21日发布。

Wiz表示，它使用了AI编码模型，包括Google的Gemini 4 Argon和OpenAI的GPT-5.6 Sol，来帮助构建概念验证漏洞，将以前需要专家研究人员花费数月的工作描述为可在数小时内完成。

谁受到影响

Wiz声称，这些底层漏洞存在于过去十年左右发布的每个PHP版本中，从PHP 5.4开始至少存在两个CVE之一。该公司表示已确认对三个广泛使用的内容管理系统的当前版本进行了未经身份验证的远程代码执行：WordPress、Drupal和Joomla。SecurityWeek报道称，这些漏洞影响常见的PHP部署方法，包括PHP-FPM、带有mod_php的Apache、php-cgi、FrankenPHP和LiteSpeed。

据该公司的报告，Wiz将暴露规模描述为影响互联网的大约70%，这指的是以某种形式运行PHP的网站所占的份额。

披露以来的利用尝试

多家安全公司监测了披露周围的攻击流量。SecurityWeek报道称，watchTowr公司在补丁发布前后的时间检测到了第一批野外利用尝试，但尚未确认成功入侵。Hadrian告诉SecurityWeek，它在补丁发布前观察到了大规模的利用尝试，集中在PHP的会话上传进度代码路径上。Patchstack、Cloudflare和Vega在披露当天记录了尝试，Amazon表示它在补丁发布前四天识别了利用尝试。

为什么PHP的规模使其变得重要

据维基百科，PHP由丹麦裔加拿大程序员Rasmus Lerdorf创建，首次发布于1995年，仍然是用于构建网站的最广泛使用的服务器端脚本语言之一。同一来源指出，截至2025年11月，超过一半的PHP驱动的网站仍在运行不受支持的PHP 7分支，约9.7%仍在PHP 5上，该版本多年前已停用——安全研究人员表示，这种遗留软件模式使PHP生态系统中的快速补丁变得复杂。