- 这些漏洞可在处理网络请求的PHP安装中实现未认证远程代码执行。
- CISA发布警报时尚未观察到漏洞遭到利用。
- CISA表示，CVE-2026-109618和CVE-2026-109619是需要立即修补的严重漏洞。
这些漏洞可实现未认证远程代码执行，并影响所有处理网络请求的PHP安装。CyberScoop报道，研究人员称，这些漏洞可能让攻击者在服务器上运行代码，并可能控制服务器。Hackread报道，访问权限可能暴露网络请求进程可用的应用程序文件和凭据。
CISA发布警报时尚未观察到漏洞遭到利用，但表示如果不修补，这些漏洞会带来风险。CyberScoop报道，在服务器端语言已知的网站中，PHP运行于70–80%的网站上，而CISA表示，PHP可能是其他软件的组件，且可能无法直接观察到。
PHP mod_php部署的风险最高
Hackread报道，PHP维护人员认为Apache mod_php部署的风险最高，因为攻击会在网站自身代码开始运行之前生效。利用漏洞不会自动授予对整个服务器的管理员权限，但可能暴露网络请求进程可用的资源。
未有确认真实利用的报告
Huntress表示，尚未观察到或独立确认针对真实客户系统的成功野外利用。
CyberScoop报道，这些漏洞在CVSS v4.0严重性评级中的得分为9.2分，该评级最高为10分。该媒体还报道，Calif使用OpenAI面向网络安全的AI模型GPT-5.6 Sol发现了该漏洞。
CISA列出下线和监控措施
CISA敦促组织识别并清点运行任何PHP版本的系统，因为PHP可能是其他软件的组件，其普及程度可能无法直接观察到。
Hackread报道，临时控制措施包括禁用会话上传进度，以及在PHP 8.5上禁用致命错误回溯，随后重启每个PHP工作进程。PHP维护人员警告称，没有适用于所有攻击路径的通用配置更改，仍需进行完整修复。
CISA表示，防御人员应监控启动Shell或下载工具的PHP工作进程。CISA还表示，在系统更新或修补之前，Web应用防火墙可能提供一定保护。
OpenAI表示，前沿AI在攻击者之前发现了这些漏洞，让维护人员和安全服务提供商有时间在披露之前准备修复方案和防护措施。CyberScoop报道，相关团队花了2个月准备技术修复和公开披露。
防守方现在要做什么
- 更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。
- 如果无法立即更新，或继续使用PHP 8.1或更早的不受支持版本，请将基于PHP的系统下线，直到能够修补或更新。
- 监控可疑活动，包括启动Shell或下载工具的PHP工作进程。
常见问题
什么是php2shell PHP漏洞？
它们是CVE-2026-109618和CVE-2026-109619，属于严重漏洞，可在处理网络请求的PHP安装中实现未认证远程代码执行。
哪些PHP版本受到php2shell影响？
CISA表示，所有处理网络请求的PHP安装都受到影响。Wired报道，受影响范围可追溯至2004年7月发布的PHP5。
php2shell是否已遭到利用？
CISA发布警报时尚未观察到漏洞遭到利用。Huntress表示，尚未独立确认针对真实客户系统的成功利用。
如何修复CVE-2026-109618和CVE-2026-109619？
更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。使用不受支持的PHP 8.1或更早版本的组织，应将基于PHP的系统下线，直到能够修补或更新。
这份PHP警报中的远程代码执行是什么？
CISA表示，这些漏洞可实现未认证远程代码执行。CyberScoop报道，研究人员称攻击者可以在服务器上运行代码并可能控制服务器，而Hackread报道，访问权限可能暴露网络请求进程可用的应用程序文件和凭据。
来源
- Critical Vulnerabilities in PHP Require Immediate Patching, CISA原始文件
- ‘This Is Not a Drill’: Critical PHP Vulnerabilities Are Setting the Internet on Fire, Wired
- PHP releases emergency fixes for 2 critical vulnerabilities, CyberScoop
- PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities, Hackread
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| CISA表示，CVE-2026-109618和CVE-2026-109619是需要立即修补的严重漏洞。 | CISA | 已证实 |
| CISA表示，称为php2shell的这些漏洞可实现未认证远程代码执行，并影响所有处理网络请求的PHP安装。 | CISA | 已证实 |
| CISA发布警报时尚未观察到漏洞遭到利用，但表示如果不修补，这些漏洞会带来风险。 | CISA | 已证实 |
| CISA敦促组织识别并清点运行任何PHP版本的系统，因为PHP可能是其他软件的组件。 | CISA | 已证实 |
| CISA表示，在系统更新或修补之前，Web应用防火墙可能提供一定保护。 | CISA | 已证实 |
| Wired报道，PHP于周三发布了紧急安全更新，以修复可能对受害系统实现危险远程控制的严重漏洞。 | Wired | 引述 |
| Wired报道，这些漏洞影响处理网络请求的PHP安装，可追溯至2004年7月发布的PHP5。 | Wired | 引述 |
| CyberScoop报道，两个漏洞在CVSS v4.0严重性评级中的得分均为9.2。 | CyberScoop | 引述 |
| CyberScoop报道，研究人员称这些漏洞属于远程代码执行漏洞，可能让攻击者运行代码并可能控制服务器。 | CyberScoop | 引述 |
| CyberScoop报道，Huntress尚未观察到或独立确认针对真实客户系统的成功野外利用。 | Huntress, via CyberScoop | 引述 |
| CyberScoop报道，研究人员估计超过130万个暴露于互联网的主机可能存在漏洞。 | CyberScoop | 引述 |
| CyberScoop报道，在服务器端语言已知的网站中，PHP运行于70–80%的网站上。 | CyberScoop | 引述 |
| CyberScoop报道，Calif使用OpenAI面向网络安全的AI模型GPT-5.6 Sol发现了该漏洞。 | CyberScoop | 引述 |
| CyberScoop报道，OpenAI、PHP维护人员、研究人员和安全服务提供商花了2个月协作完成技术修复并准备披露。 | CyberScoop | 引述 |
| OpenAI表示，前沿AI在攻击者之前发现了这些漏洞，使维护人员和安全服务提供商能够准备修复方案和防护措施。 | OpenAI, via CyberScoop | 引述 |
| Hackread报道，这些漏洞影响处理网络请求的PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed安装。 | Hackread | 引述 |
| Hackread报道，PHP维护人员认为Apache mod_php部署的风险最高，因为攻击会在网站代码开始运行之前生效。 | Hackread | 引述 |
| Hackread报道，漏洞利用会授予网络请求进程的权限，并可能暴露应用程序文件和凭据，但不会自动授予服务器范围的管理员权限。 | Hackread | 引述 |
| Hackread报道，临时控制措施包括禁用会话上传进度和致命错误回溯，随后重启每个PHP工作进程。 | Hackread | 引述 |
| Hackread报道，PHP维护人员警告称，没有适用于所有攻击路径的通用配置更改，仍需进行完整修复。 | Hackread | 引述 |
| CISA于2026年10月21日发布了报告。 | CISA | 已证实 |
未能核实
- 这些漏洞是否已在野外遭到利用尚未确定。
- 实际受影响的PHP系统数量尚未确定。
- 这两个漏洞是否具有单一的底层技术原因尚未确定。
- 所报告的侦察活动是否会导致成功利用尚未确定。
