PHP2Shell：两个关键PHP漏洞触发全球网站关闭

PHP是一种脚本语言，运行了大部分网络服务器端代码，在2026年10月遭遇两个关键安全漏洞。这些漏洞统称为"PHP2Shell"，标记为CVE-2026-109618和CVE-2026-109619，允许没有账户或密码的攻击者在受影响的网络服务器上执行任意代码。

漏洞的作用

根据安全公司watchTowr的说法，CVE-2026-109618发生在PHP在设置传入请求的过程中用尽内存时，导致内部请求数据仅部分初始化；PHP的清理例程随后错误地将该无效数据视为有效。CVE-2026-109619涉及与一个请求相关的内部状态在其指向的内存已被释放后仍然存在，因此由同一个工作进程处理的后续请求可以在正常初始化重置之前使用该过时状态。

研究公司Wiz在审查这些漏洞后告诉Help Net Security，这些问题多年来未被注意到，排在该语言中最严重的漏洞之列。watchTowr表示，除了完整的远程代码执行外，这些漏洞还可以导致PHP工作进程崩溃、允许任意文件读取或泄露服务器内存。

谁发现的，以及何时发现

这两个漏洞通过独立的研究工作而被报告。WatchTowr的公告将发现归功于Calif的安全研究团队，而Help Net Security的报道将识别和披露归功于Wiz的研究人员。披露时间表不寻常：原本应保持保密的细节在2026年10月20日公开泄露，watchTowr确认了泄露的信息是真实的。PHP的维护人员通过在2026年10月21日14:00 UTC发布补丁作出回应，比原计划的10月22日提前了一天。

范围：谁运行易受攻击的PHP

PHP仍然是网络上使用最广泛的服务器端语言之一，这些漏洞可以影响通过它处理传入HTTP请求的任何设置。根据watchTowr的说法，受影响的设置包括PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP和LiteSpeed，这意味着该漏洞存在于服务器层本身，而不是在任何单一应用中。

因为PHP 7.4、8.0和8.1不再官方支持，watchTowr表示对于仍在运行这些分支的网站，PHP核心项目没有补丁，尽管Linux发行版或长期支持供应商反向移植可能可作为临时选项；否则这些安装需要迁移到支持的分支。根据watchTowr的说法，PHP 7.3及更早版本完全没有修复。PHP的公告指出，除了更新软件外，没有配置更改可以完全关闭这些漏洞。

影响和利用

Help Net Security报告称，由亚马逊运营的蜜罐网络在2026年10月17日检测到了利用尝试——在公开补丁发布前四天——这表明一些攻击者早期获得了利用细节。WatchTowr表示其自己的"Attacker Eye"蜜罐网络在10月21日补丁发布后继续观察到野外的活跃利用。基于PHP构建的内容管理系统，包括WordPress、Drupal和Joomla，以及基于Laravel的应用和电子商务平台，都在受影响的范围内，因为它们运行在易受攻击的PHP引擎之上。

根据PHP2Shell维基百科条目上总结的报道，随着补丁工作开始，政府机构、在线论坛、游戏平台和一些与基础设施相关的网站在操作员应用修复时被作为预防措施下线。Help Net Security报告称，英国国家网络安全中心敦促无法立即修补的组织改为将易受攻击的系统下线。

严重性评级和网站运营者应该做什么

根据watchTowr的公告，PHP自己的开发人员在CVSS v4.0规模上将两个漏洞评为9.2/10，这是一个"关键"评分。根据PHP的公告和watchTowr，明确的补救路径是更新到PHP 8.5.12、8.4.27、8.3.36或8.2.35，具体取决于服务器运行的是哪个分支；运行7.4、8.0或8.1的网站应使用发行版反向移植或迁移到支持的分支，而运行7.3或更早版本的服务器没有可用的修复，需要升级。