PHP2Shell 远程代码执行漏洞

漏洞代号：PHP2Shell

漏洞编号：CVE-2026-109618、CVE-2026-109619

危险等级：CVSS 9.2

漏洞类型：远程代码执行，攻击者可直接接管服务器获取 Shell

受影响版本：PHP 5.4 及以上所有版本

此次漏洞影响范围广泛，漏洞披露后，多国政府及网络安全机构迅速采取应急措施。美国联邦调查局（FBI）、美国国家安全局（NSA）、欧盟计算机应急响应团队（CERT-EU）等机构相继发出安全警告。日本首相公开呼吁相关机构尽快部署安全补丁，必要时暂停网站服务。据媒体报道，荷兰、芬兰等国家的部分政府网站已采取预防性下线措施，日本部分政府部门及企业也紧急开展系统维护，凸显此次事件的严重性与紧迫性。

CVE-2026-109618 利用内存耗尽（OOM）时的 longjmp() 提前退出，使尚未完成初始化的请求内存在 request shutdown 阶段被错误消费；CVE-2026-109619 利用 worker 全局状态在请求结束后未正确重置，使后续请求在正常初始化之前访问已释放的请求内存。攻击者无需认证，通过构造恶意 HTTP 请求即可触发释放后重用（UAF），进而实现内存泄露和远程代码执行。

临时防护：

可通过修改 PHP 配置文件 php.ini，添加或调整以下配置进行临时安全加固。

session.upload_progress.enabled = 0

session.use_strict_mode = 1

session.cookie_httponly = 1

修改后需重启对应 PHP 服务，并检查业务是否正常。

安全修复版本：

8.2.35

8.3.36

8.4.27

8.5.12

8.1 及更早版本已停止 PHP 官方安全维护，建议尽快规划升级至受支持的 PHP 版本。

注意：

该漏洞无法在代码层防御，漏洞存在于 PHP 的底层架构中。

这意味着任何代码级别的修改、面板加固或常规的应用层防护插件都无法拦截此攻击。

防御的唯一有效方式是在服务器基础设施层面（环境底层）直接更新 PHP 版本。

https://www.php.net/archive/2026.php#2026-10-21-5

https://mp.weixin.qq.com/s/QhY6TiCry24ipbjEkIF2vQ

https://rivers.chaitin.cn/discussion/dbc7qkj1s5rlia466a30

https://docs.bt.cn/notices/php-nodejs-security-update-2026-10-21