PHP 最新高危漏洞：PHP2Shell（CVE-2026-109618、CVE-2026-109619）

发布时间：2026-10-21（UTC），PHP官方紧急安全更新，CVSS v4.0 9.2 分（严重），代号 PHP2Shell

✅ 漏洞简述

两个都是无认证远程代码执行 RCE，攻击者只需要发送特制 HTTP（multipart POST）请求，不需要账号密码，在业务代码执行前就可以触发，拿到 PHP 进程权限执行任意系统命令、接管服务器、窃取数据、植入后门。

• CVE-2026-109618：OOM内存耗尽时longjmp提前退出，请求内存状态异常、释放后重用（UAF）
• CVE-2026-109619：Worker 请求结束后全局状态未重置，后续请求访问已释放内存

原理：PHP 请求生命周期内存管理缺陷，不是框架/业务代码漏洞，是PHP内核本身漏洞

✅ 影响部署模式

全部Web运行形态都受影响：PHP-FPM、Apache mod_php（风险最高）、php-cgi、FrankenPHP、LiteSpeed PHP等，CLI模式不受影响

✅ 版本清单（重点）

PHP 8.1 及更早版本早已停止官方维护，没有官方补丁，强烈建议迁移

✅ 重要情报

1. 由安全研究员借助AI审计PHP源码发现；补丁放出后，POC/EXP会快速扩散，已有多国CERT预警、观测到探测尝试；芬兰、荷兰、英国等部分政府机构临时关站避险，国内阿里云、腾讯云、360、国家相关网络安全机构均发预警
2. 官方结论：没有可靠的WAF/配置临时缓解方案，升级是唯一根治手段，WAF只能拦一部分特征，无法彻底防御
3. 风险对象：WordPress、Discuz、各类PHP商城、自研PHP业务、宝塔/面板PHP环境、虚拟主机、云服务商PHP运行时

✅ 自查+处置步骤

1. 查看版本：php -v / 探针文件 <?php phpinfo(); ?>
2. 优先升级到上面对应修复版本
3. 升级前：限制公网不必要PHP入口、收紧PHP进程权限、开启安全审计，实时监控异常进程、shell、外联
4. 老旧无支持版本（≤8.1）：评估下线、迁移，不要继续对公网暴露
5. 升级后：重启 php-fpm / apache，复测业务

✅ 官方链接

• PHP基金会公告：https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
• PHP官网下载页：https://www.php.net/downloads

⚠️ 补充提醒

网上已经出现大量仿冒EXP、恶意检测脚本，不要随意跑来路不明的POC，容易被反杀、留后门。

如果你需要，我可以给你：

• Shell一键版本检测脚本
• Debian / CentOS / 宝塔 / Docker PHP升级命令
• Nginx+FPM临时限流、日志监控规则