CVE-2026-109618 PHP2Shell补丁与在野利用

资讯专家

漏洞概况
PHP基金会已修复两个严重漏洞，统称PHP2Shell：CVE-2026-109618（OOM corruption）和CVE-2026-109619（stale global state），CVSS评分9.2，可导致未认证远程代码执行。Apache搭配mod_php环境下已确认RCE。PHP基金会表示，这两个问题位于内存管理和错误处理等几乎每个请求都会触及的代码路径，这也是漏洞影响严重且修复困难的原因。

补丁与在野利用
修复已包含在PHP 8.5.12、8.4.27、8.3.36和8.2.35中，同时为PHP 7.4、8.0和8.1发布了最小源码backport。补丁发布前，针对这两个漏洞的PoC已在流通。WatchTowr称在补丁落地前后，其传感器首次看到在野利用尝试，但尚未观察到成功案例，并预计成功利用可能不会太远。Hadrian在补丁发布前数小时称已观察到PHP2Shell大规模在野利用，攻击主要滥用PHP的session upload-progress路径，并预计修复前后会出现更多利用路径。Patchstack和Cloudflare也观察到利用尝试；Vega看到利用公开PoC的在野尝试。

影响范围
PHP维护者称，所有处理Web请求的PHP安装都可能面临利用风险，包括PHP-FPM、Apache加mod_php、php-cgi、FrankenPHP和LiteSpeed。漏洞影响可回溯至PHP 5.4的近所有版本。除RCE外，漏洞还可被用于读取进程内存中的敏感信息，其中可能包含凭据、API密钥和其他秘密。由于缺陷位于PHP本身，约70%的网站会受影响，与其使用的CMS无关。

发现与披露
Wiz与OpenAI、Calif在8月发现漏洞，并在补丁开发及生态分发前保持保密。Calif称，PHP中的初始OOM缺陷曾在2020年被发现，2024年PHP审计中再次发现，但因未证明可利用而未修补；借助前沿AI模型，该OOM弱点得到更好分析并最终转化为RCE。Calif和OpenAI于8月11日独立报告OOM到RCE问题，OpenAI和Wiz随后报告了额外攻击向量。Wiz称，CVE-2026-109618和CVE-2026-109619归组了PHP中的四个内存安全问题，但未覆盖所有变体，存在已跟踪和可能未跟踪的变体。PHP基金会还表示，AI帮助发现了更多PHP漏洞，自7月1日以来已发布15个新CVE。

原计划10月22日协调披露，但信息于10月20日在网上泄露，基金会决定提前一天发布补丁，并发布预公告提醒需立即关注。一个演示可用PoC的视频被误提前发布，泄露了额外细节并加速了多种PoC的开发；提供给关键基础设施组织的缓解建议也可能泄露。Chainguard在协调发布前6小时发布了包含修复的构建镜像，PHP基金会认为这使攻击者可在其他用户等待发布时研究二进制形式的修复，违背了多方数周的协调披露工作。Cloudflare则在公开披露前9小时部署了针对PHP2Shell的防护。

处置建议
建议立即盘点PHP运行位置和版本，优先升级到已修复版本；无法立即打补丁时，可采取降低特定攻击路径暴露面的措施，但PHP基金会明确表示这些措施不能使安装变得安全。还应结合日志检查补丁前是否已有针对相关路径的利用尝试或入侵迹象，重点关注session upload-progress路径、公开PoC活动以及镜像和防护规则的发布时间与来源。