一句话摘要PHP 于 2026 年 10 月 21 日紧急发布安全版本修复业界称为 PHP2Shell 的两处未认证远程代码执行漏洞CVSS 均 9.2。完整修复只能靠升级并重启 worker配置缓解不能当安全。外网还在跑旧版 PHP 的站点今天应默认进入紧急补丁队列。问题不在某个 CMS 插件而在语言运行时本身。发生了什么10 月 21 日PHP 官方发布8.5.128.4.278.3.368.2.35用以修复CVE-2026-109618与CVE-2026-109619业界统称PHP2ShellCVSS 基础分均为9.2Critical均无需认证。公开信息显示凡对外处理 Web 请求的 PHP 部署都在讨论范围内包括 PHP-FPM、Apachemod_php、php-cgi、FrankenPHP、LiteSpeed 等。官方认为mod_php风险最高部分场景下请求甚至可在应用代码执行前触发问题。命名刻意对标「基础设施级」风险认知影响面在运行时不依赖 WordPress、Laravel 等具体业务缺陷。原理两处漏洞指向同一类系统性问题当请求异常结束时PHP 未必总能保证内存与 worker 级全局状态处于一致、可安全清理的状态同一 worker 上的后续请求可能踩到损坏或过期状态。CVE-2026-109618与内存耗尽OOM处理路径相关可能导致内存损坏并进而造成以 Web worker 权限执行代码。CVE-2026-109619与跨请求残留的陈旧全局状态有关公开描述为堆 use-after-free 一类问题可造成信息泄露与 RCE。对运维的含义很直接权限通常是 Web/PHP worker 用户足以读写站点文件、触及环境中的数据库凭据后续风险取决于主机隔离做得如何。谁必须立刻动外网可达的 PHP 站点与 API第一优先级内网但可被跳板访问的管理面容器镜像、云托管 Runtime、面板/Marketplace 里的 LAMP/CMS要重建并重新部署不只改宿主机 CLI内嵌 PHP 的第三方产品与设备可参考各国 CERT 引用的资产排查清单已停止官方支持的分支公开叙述可追溯至较老版本8.1 及更早无官方常规更新优先升到受支持主线或使用发行版/LTS backportPHP 团队另提供了针对 7.4 / 8.0 / 8.1 的最小源码级 backport供自行编译者使用。临时配置缓解可以降低部分路径暴露但 PHP 核心开发者与多家机构公开强调没有完整缓解补丁是唯一永久方案。CDN/WAF 规则只能当辅助。如何防御盘点全部 PHP 版本与 SAPIphp -v、FPM pool、容器基础镜像、发行版包升到8.2.35 / 8.3.36 / 8.4.27 / 8.5.12或发行版等价安全包重启全部PHP worker / 相关服务确认无残留旧进程多站点、多容器环境逐一核对避免只升了 CLI、没升 FPM外网站点优先无法立即升级时评估隔离暴露面并叠加官方公开的临时缓解仍≠安全EOL 版本排升级或 vendor backport 计划补丁前外网资产做失陷排查异常 PHP 文件、计划任务、SSH 密钥、异常外联、OOM/fatal 相关日志尖峰将 Runtime 版本纳入日常漏洞管理与镜像重建流水线 
长河君 · 2026/10/23 6:41:01 · 阅读 1.2k PHP2Shell 紧急通告：PHP 核心两处未认证 RCE
一句话摘要PHP 于 2026 年 10 月 21 日紧急发布安全版本修复业界称为 PHP2Shell 的两处未认证远程代码执行漏洞CVSS 均 9.2。完整修复只能靠升级并重启 worker配置缓解不能当安全。外网还在跑旧版 PHP 的站点今天应默认进入紧急补丁队列。问题不在某个 CMS 插件而在语言运行时本身。发生了什么10 月 21 日PHP 官方发布8.5.128.4.278.3.368.2.35用以修复CVE-2026-109618与CVE-2026-109619业界统称PHP2ShellCVSS 基础分均为9.2Critical均无需认证。公开信息显示凡对外处理 Web 请求的 PHP 部署都在讨论范围内包括 PHP-FPM、Apachemod_php、php-cgi、FrankenPHP、LiteSpeed 等。官方认为mod_php风险最高部分场景下请求甚至可在应用代码执行前触发问题。命名刻意对标「基础设施级」风险认知影响面在运行时不依赖 WordPress、Laravel 等具体业务缺陷。原理两处漏洞指向同一类系统性问题当请求异常结束时PHP 未必总能保证内存与 worker 级全局状态处于一致、可安全清理的状态同一 worker 上的后续请求可能踩到损坏或过期状态。CVE-2026-109618与内存耗尽OOM处理路径相关可能导致内存损坏并进而造成以 Web worker 权限执行代码。CVE-2026-109619与跨请求残留的陈旧全局状态有关公开描述为堆 use-after-free 一类问题可造成信息泄露与 RCE。对运维的含义很直接权限通常是 Web/PHP worker 用户足以读写站点文件、触及环境中的数据库凭据后续风险取决于主机隔离做得如何。谁必须立刻动外网可达的 PHP 站点与 API第一优先级内网但可被跳板访问的管理面容器镜像、云托管 Runtime、面板/Marketplace 里的 LAMP/CMS要重建并重新部署不只改宿主机 CLI内嵌 PHP 的第三方产品与设备可参考各国 CERT 引用的资产排查清单已停止官方支持的分支公开叙述可追溯至较老版本8.1 及更早无官方常规更新优先升到受支持主线或使用发行版/LTS backportPHP 团队另提供了针对 7.4 / 8.0 / 8.1 的最小源码级 backport供自行编译者使用。临时配置缓解可以降低部分路径暴露但 PHP 核心开发者与多家机构公开强调没有完整缓解补丁是唯一永久方案。CDN/WAF 规则只能当辅助。如何防御盘点全部 PHP 版本与 SAPIphp -v、FPM pool、容器基础镜像、发行版包升到8.2.35 / 8.3.36 / 8.4.27 / 8.5.12或发行版等价安全包重启全部PHP worker / 相关服务确认无残留旧进程多站点、多容器环境逐一核对避免只升了 CLI、没升 FPM外网站点优先无法立即升级时评估隔离暴露面并叠加官方公开的临时缓解仍≠安全EOL 版本排升级或 vendor backport 计划补丁前外网资产做失陷排查异常 PHP 文件、计划任务、SSH 密钥、异常外联、OOM/fatal 相关日志尖峰将 Runtime 版本纳入日常漏洞管理与镜像重建流水线