- CISA于2026年10月26日将CVE-2026-109618和CVE-2026-109619加入其KEV目录。
- php2shell漏洞允许在PHP中进行未认证远程代码执行。
- 受影响的PHP安装包括使用mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP和LiteSpeed。
CISA.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching)于2026年10月26日将2个PHP漏洞加入其已知遭利用漏洞目录。该机构确认CVE-2026-109618为内存损坏漏洞，CVE-2026-109619为过时的内部请求状态漏洞。
The Record报道称，CISA确认两个PHP漏洞正被针对，数十家网络安全和科技公司报告了数千次利用这些漏洞发动攻击的失败尝试。PHP用于构建和运行Web应用以及绝大多数网站，一些被该刊物引用的估算认为，互联网上超过70%的网站使用PHP。
PHPWeb请求使安装面临php2shell风险
CISA将CVE-2026-109618描述为PHP内存损坏漏洞，将CVE-2026-109619描述为PHP过时的内部请求状态漏洞。CISA表示，php2shell漏洞允许在PHP中进行未认证远程代码执行。
受影响的部署类型涵盖处理Web请求的PHP安装。CISA特别列出了使用mod_php的Apache，并称PHP认为这是风险最高的配置，同时还列出了PHP-FPM、php-cgi、FrankenPHP和LiteSpeed。
CISA列出PHP更新和监控措施
CISA表示，组织应「立即更新」PHP至8.5.12、8.4.27、8.3.36或8.2.35。CISA还要求防御人员识别并清点组织中运行任何PHP版本的系统。
对于无法更新的系统，或仍使用不受支持的PHP 8.1或更早版本的系统，CISA表示组织应将基于PHP的系统下线，直到能够打补丁或更新。在等待更新期间，Web应用防火墙可能提供一定保护。
CISA还要求防御人员监控PHP工作进程启动Shell或下载工具的情况。The Record报道称，Sophos和Palo Alto Networks发布后又撤回了成功利用的声明，而数名专家截至2026年10月25日已找到利用这些漏洞的方法。
CISA表示，联邦民用机构必须优先快速修复公开暴露资产上的KEV漏洞，这些资产在遭到利用后会授予完全控制权。该机构还表示，这类漏洞是恶意网络行为者经常使用的攻击媒介，会对联邦企业构成重大风险。
The Record报道称，CISA拒绝回答有关利用性质或潜在受害者的问题。Censys报告称，自10月21日以来，4200万项面向互联网的PHP服务中已有超过1000万项完成修补。
防守方现在要做什么
- 将PHP更新至8.5.12、8.4.27、8.3.36或8.2.35版本。
- 监控可疑活动，包括PHP工作进程启动Shell或下载工具。
- 如果无法立即更新，或继续使用PHP 8.1或更早的不受支持版本，请将基于PHP的系统下线。
常见问题
2026年10月26日PHP发生了什么？
CISA将CVE-2026-109618和CVE-2026-109619加入其已知遭利用漏洞目录。
php2shell PHP漏洞能做什么？
CISA表示，这些漏洞允许在PHP中进行未认证远程代码执行。
哪些PHP安装受到影响？
受影响的安装处理Web请求，包括使用mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP和LiteSpeed。
哪些PHP版本修复了CVE-2026-109618和CVE-2026-109619？
CISA要求组织更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。
使用不受支持PHP的组织应怎么做？
CISA表示，使用PHP 8.1或更早版本，或无法更新的组织，应将基于PHP的系统下线，直到能够打补丁或更新。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| CISA表示，其在将CVE-2026-109618和CVE-2026-109619加入KEV目录后，于2026年10月26日更新了PHP警报。 | CISA | 已证实 |
| CISA表示，被称为php2shell的漏洞允许在PHP中进行未认证远程代码执行。 | CISA | 已证实 |
| CISA表示，这些漏洞影响处理Web请求的PHP安装，包括使用mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP和LiteSpeed。 | CISA | 已证实 |
| CISA要求组织识别并清点运行任何PHP版本的系统。 | CISA | 已证实 |
| The Record报道称，CISA确认这2个PHP漏洞正遭到攻击。 | The Record | 引述 |
| CISA认为，主动利用包括对漏洞的尝试性利用和成功利用。 | CISA, via The Record | 引述 |
| CISA表示，其于2026年10月26日将CVE-2026-109618和CVE-2026-109619加入KEV目录。 | CISA | 已证实 |
| CISA确认CVE-2026-109618为PHP内存损坏漏洞。 | CISA | 已证实 |
| CISA确认CVE-2026-109619为PHP过时的内部请求状态漏洞。 | CISA | 已证实 |
| CISA表示，这些漏洞类型是恶意网络行为者经常使用的攻击媒介，会对联邦企业构成重大风险。 | CISA | 已证实 |
| CISA表示，联邦民用机构必须优先快速修复公开暴露资产上、在遭到利用后会授予完全控制权的KEV漏洞。 | CISA | 已证实 |
| The Record报道称，Sophos和Palo Alto Networks发布并撤回了成功利用的声明。 | The Record | 引述 |
| The Record报道称，数名专家在2026年10月25日星期日之前发现了利用这些漏洞的方法。 | The Record | 引述 |
| The Record报道称，曾有数千次利用这些漏洞发动攻击的失败尝试。 | The Record | 引述 |
| The Record报道称，CISA拒绝回答有关利用或潜在受害者的问题。 | The Record | 引述 |
| The Record报道称，PHP构建并运行Web应用，并被绝大多数网站使用。 | The Record | 引述 |
| The Record报道称，一些估算认为，互联网上超过70%的网站使用PHP。 | The Record | 引述 |
| Censys报告称，自10月21日以来，4200万项面向互联网的PHP服务中已有超过1000万项完成修补。 | Censys, via The Record | 引述 |
| CISA表示，在系统更新或打补丁前，Web应用防火墙可能提供一定保护。 | CISA | 已证实 |
| CISA于2026年10月26日发布了报告。 | CISA | 已证实 |
| CISA于2026年10月26日发布了报告。 | CISA | 已证实 |
未能核实
- 有多少组织或系统受到影响，尚未确定。
- 据报告的利用尝试是否导致受害者遭到入侵，尚未确定。
- 这2个漏洞是否有CVSS评分，尚未确定。
