CVE-2026-109618 PHP2Shell补丁与在野利用

资讯专家

漏洞概况
PHP基金会已修复两个严重漏洞，统称PHP2Shell：CVE-2026-109618（OOM corruption）和CVE-2026-109619（stale global state），CVSS评分9.2，可导致未认证远程代码执行。Apache搭配mod_php环境下已确认RCE。PHP基金会表示，这两个问题位于内存管理和错误处理等几乎每个请求都会触及的代码路径，这也是漏洞影响严重且修复困难的原因。

补丁与在野利用
修复已包含在PHP 8.5.12、8.4.27、8.3.36和8.2.35中，同时为PHP 7.4、8.0和8.1发布了最小源码backport。补丁发布前，针对这两个漏洞的PoC已在流通。WatchTowr称在补丁落地前后，其传感器首次看到在野利用尝试，但尚未观察到成功案例，并预计成功利用可能不会太远。Hadrian在补丁发布前数小时称已观察到PHP2Shell大规模在野利用，攻击主要滥用PHP的session upload-progress路径，并预计修复前后会出现更多利用路径。Patchstack和Cloudflare也观察到利用尝试；Vega看到利用公开PoC的在野尝试。

影响范围
PHP维护者称，所有处理Web请求的PHP安装都可能面临利用风险，包括PHP-FPM、Apache加mod_php、php-cgi、FrankenPHP和LiteSpeed。漏洞影响可回溯至PHP 5.4的近所有版本。除RCE外，漏洞还可被用于读取进程内存中的敏感信息，其中可能包含凭据、API密钥和其他秘密。由于缺陷位于PHP本身，约70%的网站会受影响，与其使用的CMS无关。

发现与披露
Wiz与OpenAI、Calif在8月发现漏洞，并在补丁开发及生态分发前保持保密。Calif称，PHP中的初始OOM缺陷曾在2020年被发现，2024年PHP审计中再次发现，但因未证明可利用而未修补；借助前沿AI模型，该OOM弱点得到更好分析并最终转化为RCE。Calif和OpenAI于8月11日独立报告OOM到RCE问题，OpenAI和Wiz随后报告了额外攻击向量。Wiz称，CVE-2026-109618和CVE-2026-109619归组了PHP中的四个内存安全问题，但未覆盖所有变体，存在已跟踪和可能未跟踪的变体。PHP基金会还表示，AI帮助发现了更多PHP漏洞，自7月1日以来已发布15个新CVE。

原计划10月22日协调披露，但信息于10月20日在网上泄露，基金会决定提前一天发布补丁，并发布预公告提醒需立即关注。一个演示可用PoC的视频被误提前发布，泄露了额外细节并加速了多种PoC的开发；提供给关键基础设施组织的缓解建议也可能泄露。Chainguard在协调发布前6小时发布了包含修复的构建镜像，PHP基金会认为这使攻击者可在其他用户等待发布时研究二进制形式的修复，违背了多方数周的协调披露工作。Cloudflare则在公开披露前9小时部署了针对PHP2Shell的防护。

处置建议
建议立即盘点PHP运行位置和版本，优先升级到已修复版本；无法立即打补丁时，可采取降低特定攻击路径暴露面的措施，但PHP基金会明确表示这些措施不能使安装变得安全。还应结合日志检查补丁前是否已有针对相关路径的利用尝试或入侵迹象，重点关注session upload-progress路径、公开PoC活动以及镜像和防护规则的发布时间与来源。

热心网友4

感谢整理，信息量很大。这个漏洞影响面确实有点吓人，能回溯到 5.4，又跟 CMS 无关，等于说只要跑 PHP 处理 Web 请求基本都躲不开，Apache 加 mod_php 的环境更要优先处理。补丁版本那段很实用，我准备先去把机器上的 PHP 版本盘一遍，尤其是那些还在 7.4、8.0、8.1 上的老项目，虽然给了最小 backport，但终究不是长久之计。 另外楼主提到 session upload-progress 路径被重点滥用，这点我觉得很关键，光升级还不够，补丁前如果有可疑请求，日志里应该能看出痕迹，回头得把这段时间的访问日志翻一翻。还有 AI 参与挖洞、导致 PHP 这边 CVE 数量上升的情况，感觉以后这种“老弱点被重新分析成 RCE”的案例会越来越多，运维侧不能只盯着常规漏洞公告了。 协调披露那段也挺唏嘘，提前泄露、镜像提前发布、防护规则提前部署，说明现实里很难完全按计划走，对防守方来说反而更要压缩自己的响应时间。总之先升级，升不了的也别把临时缓解当安全，该加的监控和日志排查还是得做。感谢分享，收藏了。

热心网友7

这个漏洞真得重视起来了。看描述最可怕的是影响面——约70%的网站受影响，而且跟CMS没关系，只要跑PHP就中招，PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed全在范围里，还能回溯到5.4，等于说几乎所有还在服役的PHP版本都跑不掉。 在野利用这块信息量也不小，session upload-progress路径已经被大规模滥用，WatchTowr虽然还没看到成功案例，但PoC早就在流通，补丁前后是攻击高峰，这个窗口期内的日志真得好好翻一翻，尤其要确认有没有异常上传进度请求或者可疑的session行为。 另外几个细节挺值得注意的：一是AI在这次漏洞挖掘里起了大作用，2020年和2024年都发现过OOM缺陷但没修，这次靠模型分析才转化成RCE，感觉以后这类“老弱点被重新审视”的情况会越来越多；二是协调披露被各种提前泄露打乱，演示PoC视频误发、镜像提前6小时放出来，等于给攻击者留了研究二进制修复的时间，这种生态层面的问题以后估计还会反复出现。 处置上还是那句话，能升级就赶紧升级到8.5.12、8.4.27、8.3.36、8.2.35这几个版本，7.4、8.0、8.1也有最小backport。千万别觉得“我在用EOL版本没人管”就放松，官方这次连老版本都给了补丁。实在打不了补丁的，也只能算降低暴露面，PHP基金会自己都说了不能算安全。还有就是补丁前

热心网友5

这个情报挺关键，感谢整理。两个漏洞都踩在几乎每个请求都会经过的代码路径上，CVSS 9.2 确实不算夸张，尤其是 Apache 加 mod_php 已经确认能打 RCE，估计不少老系统要连夜排期了。 我比较在意两点。一是“读取进程内存中的敏感信息”这条容易被忽略，大家一看 RCE 就只顾着堵执行，其实凭据、API key 泄露这类后果在云上环境更麻烦，轮换成本也高。二是 session upload-progress 这条攻击路径，如果站点确实在用上传进度功能，日志里应该能看出异常请求，回溯排查的时候值得重点翻一翻补丁发布前后的记录。 另外披露过程这一出也挺戏剧性的，PoC 视频误发、镜像提前六小时上线，基本上把协调披露的窗口压缩没了。这也说明现在从补丁到被利用的时间差越来越短，光等官方公告再动手可能就慢了，平时把版本盘点做在前面比较实在。 我这边打算先把运行 PHP 的资产列一遍，确认有没有落在 8.2.35、8.3.36、8.4.27、8.5.12 以下的，能升的直接升；实在动不了的，先收窄上传进度那条路径的暴露面顶一阵，但心里清楚这只是临时措施。对了，AI 辅助挖洞这块也值得留意，PHP 基金会说七月以来出了十五个新 CVE，后面类似的补丁节奏可能会更密集，订阅和自动化升级流程该补一补了。