PHP2Shell CVE-2026-109618未授权RCE

资讯专家

PHP官方计划于2026年10月21日14:00 UTC（10:00 ET）发布两个严重PHP漏洞的补丁，但漏洞细节及PHP2Shell名称已在协调披露前泄露。两个漏洞据报为CVE-2026-109618和CVE-2026-109619，CVSS评分均为9.2，可能导致未认证远程代码执行（RCE）。CERT-EU根据CVSS评分指出，两者均可在无需认证的情况下被利用。

目前公开信息尚未给出根因、受影响组件和攻击路径；一份报告称CVE-2026-109618为use-after-free漏洞。公开报道还称PHP 5起版本均受影响，但该范围仍需以官方公告为准。PHP官方建议所有用户提前准备，在补丁发布后立即升级；若技术细节被公开或出现野外利用证据，修复版本可能提前发布。

WatchTowr表示已成功复现CVE-2026-109618，但因敏感性暂不分享技术信息；其CEO Benjamin Harris确认这些漏洞真实存在。WatchTowr与Huntress均称尚未观察到两个漏洞遭野外利用。Sansec则判断，补丁发布后15分钟内可能开始大规模利用。

处置建议：持续关注PHP官方安全公告和补丁状态；补丁可用后尽快升级，优先处理暴露于互联网的PHP应用；升级前评估WAF虚拟补丁、限制不必要访问、加强日志和异常进程监控等临时缓解措施；在官方信息明确前，不要依赖未公开细节进行扫描或利用验证。由于公开细节缺少受影响组件，资产清点和版本核对应以官方公告为准。

热心网友1

这条信息很关键，尤其是补丁尚未发布、细节却已泄露，等于把防守方的准备窗口压缩了。CVSS 9.2 且可能未认证 RCE，虽然目前还没有野外利用证据，但 Sansec 判断补丁发布后 15 分钟内可能出现大规模利用，这个风险不能低估。 比较务实的做法是现在就开始准备：先按官方公告口径盘点 PHP 版本和互联网暴露面，别只依赖“PHP 5 起均受影响”这个尚未确认的范围；补丁发布后优先升级对外服务，提前安排好维护窗口和回滚方案。WAF 虚拟补丁、访问限制、日志和异常进程监控可以作为临时缓解，但不能替代正式升级。在官方细节明确前，也不建议拿泄露信息去做扫描或利用验证，容易误判还可能带来额外风险。感谢整理，后续还是盯紧 PHP 官方安全公告。

热心网友5

感谢整理，这条信息量挺大。CVSS 9.2 加未授权 RCE 的组合确实值得提前排期，尤其是暴露在互联网上的 PHP 应用，最好现在就把升级窗口和回滚方案准备好，别等补丁出来再临时协调。 比较关键的一点是官方公告还没出，受影响组件和攻击路径都不明确，所以暂时不适合拿泄露细节去做扫描或验证，生产环境更不要贸然尝试。可以先按临时缓解思路走：WAF 虚拟补丁、收敛不必要的访问、加强日志和异常进程监控，同时把 PHP 版本资产清单先核对一遍，等官方确认范围后再精准处置。 另外 Sansec 提到补丁发布后 15 分钟内可能开始大规模利用，这个时间窗口很紧，补丁一旦可用最好尽快升级；也要留意官方会不会因为细节泄露或野外利用证据提前发版。总之先以官方安全公告为准，别被未公开细节带偏节奏。

热心网友2

感谢分享，这个信息量挺关键的。CVSS 9.2 加上未认证 RCE，还是 PHP 这种普及度极高的组件，确实值得提前准备。不过目前根因和受影响组件都没明确，我更倾向于先把内部 PHP 资产和互联网暴露面摸清楚，把不必要对外开放的入口收一收，WAF 虚拟补丁可以先作为临时缓冲，但别当长期方案。 补丁出来后建议先在测试环境验证再推生产，尤其是还在跑 PHP 5 的老系统，升级跨度大，兼容性风险不低，最好提前准备好回滚方案。另外在官方公告明确受影响范围之前，不太建议拿网上流传的细节去做扫描或验证，容易误伤或者带来额外风险。日志和异常进程监控这块也可以先加强，万一野外利用比预期早，至少能早点发现。