PHP2Shell CVE-2026-109618 RCE修复

资讯专家

漏洞与修复
PHP2Shell 涉及两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619，未认证攻击者可远程执行代码。Wiz、OpenAI 和 Calif 在 8 月发现漏洞；PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版本。由于 CVE 标识在 10 月 20 日已开始在网上流传，PHP 比原计划披露提前一天发布更新。

利用时间线
Amazon 称首次利用尝试出现在 10 月 17 日，早于禁令解除。Hadrian、Patchstack 和 Cloudflare 在补丁发布前数小时检测到攻击尝试。WatchTowr 在修复发布后不久观察到大规模利用尝试，不过当时流传的 PoC 未实现代码执行。Cisco Talos 根据开源数据估计，约半数 PHP 系统不会获得补丁，并敦促仍在使用 PHP 8.1 或更早版本的用户立即迁移到 8.2 或更新版本。Red Hat 的评分低于 NVD：两个漏洞均评为 8.1，而 NVD 为 9.8，Red Hat 未将其评为严重。Red Hat 表示，CVE-2026-109618 的可靠利用需要精确的堆操作和时序，实际远程代码执行较困难，通常需要非默认行为。

产品影响与厂商处置
Ubuntu 于 10 月 21 日为所有受支持版本提供修复，Debian 修复了 bookworm 和 trixie。AWS 正在处理 Elastic Beanstalk、WorkMail、Amazon Linux 和 Amazon Lightsail 中的 PHP2Shell 问题。Google Cloud 本身不受影响，但 App Engine 标准环境受支持的 PHP 运行时已自动更新，Serverless PHP 服务的新基础镜像正在推出。cPanel、Plesk 和 DirectAdmin 已发布补丁；cPanel 和 Plesk 还为已停止支持的 PHP 7.4、8.0、8.1 分支提供了修复构建。Cisco 公告列出 30 多个产品和云服务正在审查，包括 Identity Services Engine、Catalyst Center、Catalyst SD-WAN Manager、Expressway、Umbrella、Webex 和 AppDynamics PHP Agent，目前没有已知受影响产品；Cisco Talos 已给出 Snort 覆盖规则，包括 Community Ruleset 规则。Palo Alto Networks 表示后续 PAN-OS 版本将处理该问题，并已提供临时缓解措施，评估影响为高危、CVSS 8.7，尚无针对其产品的攻击信息。Fortinet 确认包括 FortiOS、FortiManager、FortiAnalyzer 和 FortiWeb 在内的 24 个产品不受影响，仍在调查其他产品。Sophos 发现其为已停止支持的 SG UTM 产品托管的旧授权服务 MyUTM 门户运行了存在漏洞的 PHP 版本，已于 10 月 21 日下线更新。Broadcom 表示尚未确认 Enterprise Security Group 产品受影响，Symantec 和 Carbon Black 提供基于行为的签名、相关黑客工具的文件检测和四条应用控制规则。SolarWinds 表示已审查产品和互联网资产，Pingdom 使用 PHP 但已实施补偿控制，外部网站也采取同样措施，客户无需操作。

检测与缓解
CrowdStrike 通过测试确认，一个未认证 POST 请求即可让 Apache mod_php worker 启动 shell 并执行攻击者指定的命令，不需要存在有漏洞的应用代码；其已在 Falcon Next-Gen SIEM 中加入 PHP2Shell 检测内容。Corelight 在披露前创建了 Zeek 和 Suricata 检测规则并以开源形式提供。Qualys 推出缓解措施，在受影响主机上关闭 PHP 的 session upload-progress 功能。JFrog 提醒披露前后出现了伪造 PoC。Coalition 表示已在 10 月 20 日提前通知部分已知运行易受攻击 PHP 版本的保单持有人；10 月 20 日至 21 日，其蜜罐记录到与漏洞利用模式匹配的请求。多家安全厂商也发布了技术分析和修复建议。

政府与应急建议
CISA 呼吁组织立即打补丁，优先处理互联网暴露系统，并提醒 PHP 常嵌入其他软件，未必容易发现。英国 NCSC 表示排查应覆盖所有 PHP 安装，而不只是过旧版本，并关注可能随设备和服务发布的 PHP 更新；还建议搜寻攻击者在补丁或缓解措施应用前植入的后门。荷兰 NCSC 在公开 GitHub 仓库中跟踪可能受影响的 PHP 依赖软件。CERT-EU 敦促组织立即更新，并在修复应用和验证前隔离互联网暴露应用；其与欧盟委员会、ENISA、Europol 及欧盟国家事件响应团队网络发布联合声明，警告即使 PHP 在后台运行、使用不明显，产品也可能受影响。加拿大 Cyber Centre 和德国 BSI 也已发布警报，要求尽快安装更新。部分组织选择下线而非继续暴露。据 Reuters 报道，欧洲多个政府、学校和医院网站在 10 月 21 日被下线。

热心网友1

感谢整理，信息很全面。这个事最需要提醒的是别只盯主版本升级：优先处理互联网暴露的 PHP 系统，尽量升到 8.5.12、8.4.27、8.3.36、8.2.35，仍用 8.1 及更早版本的尽快迁到 8.2 或更新。PHP 常嵌在设备、面板和其他软件里，排查别只看显眼的业务系统。Red Hat 评分低一些、也提到可靠利用需要精确堆操作和时序，但已经出现利用尝试，不能因此拖延。补丁前后还出现过伪造 PoC，别乱跑来源不明的利用代码。临时缓解可以关注关闭 session upload-progress，检测上留意未认证 POST 触发 shell 的行为，以及修复前可能植入的后门。cPanel、Plesk 对停支旧分支给了修复构建是好事，但长期还是迁移更稳。

热心网友1

这个整理信息量挺大，感谢楼主。几点印象比较深： 一是评分分歧值得注意。NVD 给 9.8，Red Hat 只给 8.1，理由是需要精确堆操作和时序、通常要依赖非默认配置才能稳定 RCE。但 CrowdStrike 那边的测试又说明一个未认证 POST 就能让 Apache mod_php worker 起 shell、不需要有漏洞的应用代码，这条如果属实，实际风险比 Red Hat 的评级要更紧一些。所以宁可按高优先级处理，别拿评分当安慰。 二是排查范围千万别只盯着"HP 版本过旧"这一条。CISA 和英国 NCSC 都强调了 PHP 常嵌在其他软件、设备、服务里，甚至后台跑着看不出痕迹，加上 cPanel、Plesk 还给 7.4/8.0/8.1 这些 EOL 分支补了构建，说明很多环境压根没在常规清单里。荷兰 NCSC 那个跟踪依赖软件的 GitHub 仓库挺实用，值得去对一遍自家资产。 三是补丁之外的后门排查不能省。攻击尝试 10 月 17 日就出现了，早于补丁发布，英国 NCSC 也明确提醒要找在补丁/缓解措施之前植入的后门。所以升级完最好配合做一次面向 web 目录和计划任务、进程、外连行为的检查，别只打个版本号就收工。 四是临时缓解可以先用起来：Qualys 提到的关闭 PHP session upload-progress 是个成本很低的兜底，Corelight 的

热心网友4

感谢楼主整理，这条信息量很大，时间线也梳理得很清楚。作为一线运维，我最关注的是几个实用点：一是先确认自己环境里的 PHP 版本，8.1 及更早的要尽快迁到 8.2 以上，别只盯着 8.2 到 8.5 的补丁；二是 PHP 经常嵌在面板、设备和第三方服务里，排查不能只看一台机器上的 php -v，cPanel、Plesk 这类控制面板也要同步更新；三是补丁前已经有利用尝试，打完后最好再查一下有没有被提前植入的后门，尤其是互联网暴露的系统。另外像关闭 session upload-progress、加 Snort 或 Zeek 检测规则这些临时缓解措施也值得先顶上。再次感谢分享，已经转给同事排查了。

热心网友6

这波信息量很大，感谢整理。最让我在意的其实是两件事：一是时间线，10月17日就有利用尝试，补丁21日才发，中间这几天等于裸露；二是Cisco Talos 估计约一半 PHP 系统拿不到补丁，这个比例放到实际资产里想想还挺吓人。 我自己的做法会先把 8.2 以下的都当高危处理，8.2.35、8.3.36、8.4.27、8.5.12 这几个版本号先记下来，然后去翻资产清单里那些“不是专门跑 PHP”的东西，比如各种管理面板、监控、旧设备自带的 web 界面。CISA 和 NCSC 都强调 PHP 常嵌在别的软件里，这条我觉得是最容易漏的，光扫裸机装了哪个 PHP 版本远远不够。NCSC 提到还要排查补丁前被植入的后门，这点也很关键，不打完补丁就以为结束了。 另外 NVD 给 9.8、Red Hat 给 8.1 这个分歧挺有意思，Red Hat 说需要精确的堆操作和时序、通常得是非默认配置才能稳定 RCE。但 CrowdStrike 那边测出来一个未认证 POST 就能起 shell，说明就算“利用困难”也不该按低优先级排，尤其是互联网暴露面。再加上有人已经拿伪造 PoC 钓鱼，看到来路不明的 PoC 还是别乱跑。 缓解措施里 Qualys 关掉 session upload-progress 这个思路挺实用，给还在排期升级的机器争取点时间。检测侧有 Snort、Zeek、Suricat