兩個被稱為「PHP2Shell」的關鍵PHP漏洞暴露了大部分網際網路

在2026年10月21日,PHP項目在安全研究人員披露兩個關鍵遠程代碼執行漏洞後發布了該語言的補丁版本,這兩個漏洞統稱為「PHP2Shell」。這些漏洞追蹤為CVE-2026-109618和CVE-2026-109619,由雲安全公司Wiz Research發現,根據Wiz的公開文章,該公司將發現、協調和補丁驗證的功勞歸功於Calif和OpenAI等組織。

兩個漏洞的功能

Wiz表示這兩個CVE實際上捆綁了四個不同的基礎漏洞。CVE-2026-109618涵蓋PHP會話上傳進度反序列化程序中的使用後釋放漏洞,可被濫用進行遠程代碼執行,以及相關漏洞,可在未經身份驗證的情況下從運行中的PHP工作進程泄露記憶體。CVE-2026-109619涵蓋PHP致命錯誤回溯處理中的使用後釋放和OPcache(PHP的共享記憶體位元組碼快取)中的單獨類型混淆漏洞。

根據Wiz的說法,兩個問題都位於幾乎每個PHP請求都會經過的代碼路徑中:記憶體管理和錯誤處理。PHP基金會在SecurityWeek報導的評論中也指出了這一點。

發現時間線

Wiz研究團隊在其博客文章中被命名為Sagi Tzadik、Shir Tamari、Nir Ohfeld和Tomer Schwartz,表示它在2026年8月19日發現了第一個漏洞,並在接下來的兩天內確認了針對WordPress和Drupal安裝的遠程代碼執行漏洞利用。該團隊於2026年8月24日向PHP安全團隊報告了其發現。公開披露和相應補丁於2026年10月21日發布。

Wiz表示它使用了AI編碼模型,包括Google的Gemini 4 Argon和OpenAI的GPT-5.6 Sol,以幫助構建概念驗證漏洞利用,描述了以前需要專業研究人員數月才能完成的工作現在可在數小時內完成。

誰受到影響

Wiz表示基礎漏洞存在於過去大約十年內發布的每個PHP版本中,至少從PHP 5.4開始,其中兩個CVE之一就存在。該公司表示它確認了針對三個廣泛使用的內容管理系統當前版本的未經身份驗證的遠程代碼執行:WordPress、Drupal和Joomla。SecurityWeek報導這些漏洞影響常見的PHP部署方法,包括PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP和LiteSpeed。

Wiz將暴露範圍描述為影響大約70%的互聯網,這是指根據該公司文章所述以某種形式在PHP上運行的網站份額。

披露後的利用嘗試

多家安全公司監控了披露時的攻擊流量。SecurityWeek報導firm watchTowr在補丁推出時偵測到了第一次野生環境利用嘗試,但未確認成功的破壞。Hadrian告訴SecurityWeek,它在補丁發布前就觀察到了大規模利用嘗試,集中在PHP的會話上傳進度代碼路徑上。Patchstack、Cloudflare和Vega在披露當天記錄了嘗試,Amazon表示它在補丁發布前四天發現了利用嘗試。

為什麼PHP的規模使其變得重要

根據維基百科,PHP由丹麥加拿大程序員Rasmus Lerdorf創建,首次發布於1995年,仍然是構建網站最廣泛使用的服務器端腳本語言之一。同一來源指出,截至2025年11月,超過一半的PHP驅動網站仍在運行不受支持的PHP 7分支,約9.7%仍在早已停用的PHP 5上,這是安全研究人員表示會複雜化整個PHP生態系統快速補丁的遺留軟件模式。