- PHP2Shell涵盖CVE-2026-109618和CVE-2026-109619这2个严重远程代码执行漏洞。
- PHP依据CVSS v4.0将2个漏洞均评为9.2，而在线泄露信息声称CVSS评分为10.0，但该评分并非PHP给出。
- 受影响的PHP版本会处理Web请求，包括通过PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed处理的请求。
PHP于2026年10月21日发布紧急更新，修复2个被统称为PHP2Shell的严重远程代码执行漏洞：CVE-2026-109618和CVE-2026-109619。PHP依据CVSSv4.0将每个漏洞评为9.2。
受影响的系统包括处理Web请求的PHP安装，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed。PHP表示，没有账户的攻击者可以在Web服务器上执行代码；而SecurityWeek表示，这些漏洞还可能暴露包含凭据、API密钥和其他机密的进程内存。
PHP是一种面向Web开发的通用脚本语言。SecurityWeek表示，已确认这2个漏洞在使用mod_php的Apache上可实现远程代码执行，并且这些漏洞影响几乎所有可追溯至PHP 5.4的PHP版本。
PHP2Shell包含内存耗尽损坏和陈旧全局状态
SecurityWeek将CVE-2026-109618确定为内存耗尽损坏，将CVE-2026-109619确定为陈旧全局状态。PHP将这2个漏洞描述为内存安全漏洞。
watchTowr表示，成功利用无需账户或先前访问权限，因为「通过网络连接到服务器就足够了；不需要账户或先前访问权限。」
更新后必须重启PHP工作进程
PHP的公告表示，更新到包含补丁的版本是针对内存耗尽漏洞的唯一完整缓解措施。对于陈旧全局状态漏洞，PHP表示，更新是唯一可靠的缓解措施。
watchTowr表示，管理员应在安装更新后重启每个PHP工作进程，使修复程序在整个环境中生效。
The Hacker News表示，这些漏洞由Wiz Research、Calif和OpenAI的Codex Security团队发现。
PHP表示，修复程序包含在PHP 8.5.12、8.4.27、8.3.36和8.2.35中。其安全团队曾于2026年10月20日宣布计划发布更新，但没有公布CVE标识符。
防守方现在要做什么
- 请勿使用RLIMIT_AS或RLIMIT_DATA，因为一旦达到内存上限，这会导致mmap()失败，触发存在漏洞的longjmp()路径。
常见问题
什么是PHP2Shell漏洞？
PHP表示，PHP2Shell涵盖CVE-2026-109618和CVE-2026-109619这2个PHP中的严重远程代码执行漏洞。
哪些PHP版本受PHP2Shell影响？
SecurityWeek表示，这些漏洞影响几乎所有可追溯至PHP 5.4的PHP版本，PHP表示，处理Web请求的安装存在风险。
PHP2Shell攻击者可以不使用账户执行代码吗？
PHP表示，这些漏洞可让没有账户的攻击者在Web服务器上执行代码。watchTowr表示，通过网络连接到服务器就足够了，不需要先前访问权限。
为什么Apache mod_php上的PHP2Shell风险最高？
PHP表示，运行带有mod_php的Apache的网站风险最高。SecurityWeek表示，已确认这2个漏洞在使用mod_php的Apache上可实现远程代码执行。
CVE-2026-109618是什么？
SecurityWeek将CVE-2026-109618确定为内存耗尽损坏漏洞。
来源
- RCE via OOM corruption, GitHub原始文件
- RCE via stale global state, GitHub原始文件
- CVE-2026-109619: PHP Remote Code Execution Exploited, watchTowr原始文件
- PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge, The Hacker News
- PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors, SecurityWeek
- PHP ships emergency patches for critical PHP2Shell flaws, BleepingComputer
- PHP2Shell: The Emergency PHP Patch Is Out, and the Real Race Starts Now, Techaeris
- PHP rushes out emergency patches for two critical bugs AI found first, The Next Web
- Critical security flaw puts most websites at risk as NSA issues warning, Milwaukee Journal Sentinel
- PHP, Wikipedia
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| PHP发布紧急更新，修复2个可让未认证攻击者在Web服务器上执行代码的严重漏洞。 | PHP, via The Hacker News | 引述 |
| 修复程序包含在PHP 8.5.12、8.4.27、8.3.36和8.2.35中。 | PHP, via The Hacker News | 引述 |
| 这些漏洞影响处理Web请求的PHP安装，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed。 | PHP, via The Hacker News | 引述 |
| SecurityWeek报道，已确认这2个漏洞在使用mod_php的Apache上可实现远程代码执行。 | SecurityWeek | 引述 |
| SecurityWeek表示，PHP2Shell漏洞影响几乎所有可追溯至PHP 5.4的PHP版本。 | SecurityWeek | 引述 |
| SecurityWeek表示，这些漏洞还可以读取包含凭据、API密钥和其他机密的敏感进程内存。 | SecurityWeek | 引述 |
| PHP发布了2个严重远程代码执行漏洞的紧急补丁，这些漏洞统称为PHP2Shell。 | PHP, via BleepingComputer | 引述 |
| PHP表示，更新是唯一安全的选择，并且Apache mod_php风险最高。 | PHP, via The Next Web | 引述 |
| watchTowr表示，成功利用无需账户或先前访问权限，因为通过网络连接到服务器就足够了。 | watchTowr | 引述 |
| PHP的内存耗尽公告表示，更新到包含补丁的版本是唯一完整的缓解措施。 | PHP, via GitHub | 已证实 |
| PHP的陈旧全局状态公告表示，更新是唯一可靠的缓解措施。 | PHP, via GitHub | 已证实 |
| watchTowr表示，管理员应在安装更新后重启每个PHP工作进程。 | watchTowr | 引述 |
| PHP是一种面向Web开发的通用脚本语言。 | Wikipedia | 已证实 |
| Milwaukee Journal Sentinel表示，该漏洞可能让攻击者控制或干扰网站，并访问敏感用户信息。 | Milwaukee Journal Sentinel | 引述 |
| 泄露信息声称漏洞的CVSS评分为10.0，但这并非PHP给出的评分；PHP将2个漏洞均评为9.2。 | PHP, via The Hacker News | 引述 |
| SecurityWeek将CVE-2026-109618确定为内存耗尽损坏，将CVE-2026-109619确定为陈旧全局状态；两者的CVSS评分均为9.2。 | SecurityWeek | 引述 |
| PHP的公告依据CVSS v4.0将每个漏洞评为9.2，而watchTowr首席执行官和一些早期报道称其CVSS评分为10.0。 | PHP, via Techaeris | 引述 |
| Techaeris表示，pHP2Shell涵盖CVE-2026-109618和CVE-2026-109619，这2个漏洞均为按CVSS v4.0评为9.2的远程代码执行漏洞。 | Techaeris | 引述 |
| 修补后的PHP版本修复了被追踪为CVE-2026-109618和CVE-2026-109619的2个内存安全漏洞，两者在CVSS v4标准下的评分均为9.2。 | PHP, via The Next Web | 引述 |
| PHP宣布于2026年10月21日14:00UTC发布安全更新，涵盖2个严重漏洞，每个漏洞的CVSS v4.0评分为9.2。 | PHP | 引述 |
| watchtowr.com于2026年10月21日发布报告。 | watchtowr.com | 已证实 |
未能核实
- 尚无法确定某台具体服务器是否已成功遭到入侵。
- 尚无法确定有多少安装受到影响。
- 尚无法确定据报告的利用尝试是否导致代码执行。
- 尚无法确定2个漏洞是否由同一批攻击者利用。
