PHP2Shell在2026年10月让PHP维护者和网站运营方不得不紧急应对：两项漏洞位于PHP核心运行环境，可能让未登录的攻击者远程执行代码。漏洞细节于10月20日提前曝光后，PHP将补丁发布时间从原定的10月22日提前至10月21日。2718

这是一场需要迅速排查和修补的安全事件，但“存在大量潜在暴露实例”并不等于“已经发生大规模入侵”。判断风险时，尤其要分清攻击者的尝试、漏洞利用演示与真实环境中的成功入侵。

两项漏洞为何值得紧急处理

PHP2Shell是两个漏洞的统称：CVE-2026-109618与CVE-2026-109619。前者与内存耗尽时的内存破坏有关，后者涉及过期的全局状态；两者都可能导致远程代码执行。两项漏洞的CVSS v4.0评分均为9.2，属于严重漏洞。4710

风险尤其值得网站运营者注意：漏洞存在于PHP本身，而不是某个特定插件或网站主题。PHP官方提醒，处理网页请求的PHP安装都应尽快升级；相关环境包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。5

报道将受影响范围追溯至PHP 5.4及之后的版本。14 PHP于10月21日发布的修复版本为8.5.12、8.4.27、8.3.36和8.2.35。15 PHP 8.1及更早分支不在这批官方修复版本之列；这些旧分支已结束常规安全支持，但部分Linux发行版或长期支持服务商可能另行提供回补，实际情况需向相应供应商确认。

AI参与发现，信息提前曝光打乱发布节奏

根据相关报道，Calif研究人员在OpenAI的“Patch the Planet”计划中借助GPT-5.6 Sol发现漏洞；Wiz也进行了独立研究。报道还提到Wiz研究人员使用Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol协助漏洞研究。621

漏洞细节于10月20日提前公开，打乱了原定的协调披露节奏。PHP随后于10月21日发布补丁；Forrester报道，补丁在当天14:00 UTC推出。718 这也让维护者、托管商和安全团队必须在较短时间内确认哪些服务运行PHP、哪些版本需要升级，以及相关应用是否依赖受影响环境。

暴露规模与攻击消息要分开看

TechTarget报道援引估算称，PHP支撑约70%的互联网网站；Palo Alto Networks则识别出超过2260万个可能受PHP2Shell影响的互联网暴露实例。23 这些数字描述的是潜在覆盖面，并不意味着所有实例都运行着受影响配置，更不能直接当作已被攻陷的数量。

关于攻击活动，Amazon Threat Intelligence据报道在其MadPot诱捕系统中观察到一项可追溯至10月17日的PHP2Shell攻击尝试，早于漏洞公开披露。413 这说明公开前已有相关探测或利用尝试的报告，但现有材料没有据此证明该尝试成功侵入真实生产系统。Sansec在10月22日更新评估时也表示，大规模利用的可能性低于其在补丁发布当天的预期。10

因此，不能把“发现攻击尝试”“研究人员展示利用方式”与“确认服务器被成功入侵”混为一谈。现有材料支持的是：需要尽快清点PHP资产并应用补丁；它不足以证明PHP2Shell已经造成大规模成功入侵。

官方与云服务商的应对

美国国家安全局（NSA）建议组织盘点依赖易受影响PHP版本的硬件和软件服务，并优先应用供应商补丁；美国网络安全和基础设施安全局（CISA）也呼吁立即修补。Google、AWS和Microsoft等厂商发布了面向客户的相关指导。31718

PHP官方建议所有处理网页请求的相关安装尽快升级。对运营团队来说，第一步是查清主机、容器、托管服务和应用实际使用的PHP版本，再按所用发行版或服务商提供的方式安装更新；不能只检查网站代码仓库，因为漏洞位于PHP运行环境本身。5

10月23日另有一项后续提醒

10月23日，PHP又发布了关于CVE-2026-115560的提示。这是与特殊会话配置组合有关、被官方描述为不太可能出现的远程代码执行路径，与PHP2Shell的两项主漏洞不同。PHP建议在下一次常规缺陷修复版本发布前，将session.upload_progress.enabled设为0；官方说明，只有在特定配置和运行时切换序列化处理器等条件同时成立时才会触发该问题。19

还有哪些说法不能当作已证实事实？

关于PHP Foundation曾在2024年发现相关问题、因资源不足而出现“结构性失败”，以及OpenAI推出PHP版本检查器或承诺提供10亿美元Daybreak补贴等说法，现有材料不足以核实其完整背景和具体细节，因此不宜作为确定事实转述。

同一时期还有其他安全事件，但不能据此推断它们与PHP2Shell有关。例如，Imperva展示了利用Brotli数据在Node.js环境中运行攻击者代码的“Node2Shell”演示；另有事件汇总提及LiteLLM软件包供应链问题和eMudhra证书机构密钥事件。这些是不同事件，现有材料没有证据显示它们由PHP2Shell引发。

对网站运营者而言，最稳妥的结论并不复杂：先确认哪些服务运行PHP，再尽快安装适用补丁；同时根据自身配置检查后续安全公告。潜在暴露值得认真对待，但不应在缺乏证据时把它直接说成已发生的全面失陷。17

PHP2Shell在2026年10月让PHP维护者和网站运营方不得不紧急应对：两项漏洞位于PHP核心运行环境，可能让未登录的攻击者远程执行代码。漏洞细节于10月20日提前曝光后，PHP将补丁发布时间从原定的10月22日提前至10月21日。2718

这是一场需要迅速排查和修补的安全事件，但“存在大量潜在暴露实例”并不等于“已经发生大规模入侵”。判断风险时，尤其要分清攻击者的尝试、漏洞利用演示与真实环境中的成功入侵。

两项漏洞为何值得紧急处理

PHP2Shell是两个漏洞的统称：CVE-2026-109618与CVE-2026-109619。前者与内存耗尽时的内存破坏有关，后者涉及过期的全局状态；两者都可能导致远程代码执行。两项漏洞的CVSS v4.0评分均为9.2，属于严重漏洞。4710

风险尤其值得网站运营者注意：漏洞存在于PHP本身，而不是某个特定插件或网站主题。PHP官方提醒，处理网页请求的PHP安装都应尽快升级；相关环境包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。5

报道将受影响范围追溯至PHP 5.4及之后的版本。14 PHP于10月21日发布的修复版本为8.5.12、8.4.27、8.3.36和8.2.35。15 PHP 8.1及更早分支不在这批官方修复版本之列；这些旧分支已结束常规安全支持，但部分Linux发行版或长期支持服务商可能另行提供回补，实际情况需向相应供应商确认。

AI参与发现，信息提前曝光打乱发布节奏

根据相关报道，Calif研究人员在OpenAI的“Patch the Planet”计划中借助GPT-5.6 Sol发现漏洞；Wiz也进行了独立研究。报道还提到Wiz研究人员使用Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol协助漏洞研究。621

漏洞细节于10月20日提前公开，打乱了原定的协调披露节奏。PHP随后于10月21日发布补丁；Forrester报道，补丁在当天14:00 UTC推出。718 这也让维护者、托管商和安全团队必须在较短时间内确认哪些服务运行PHP、哪些版本需要升级，以及相关应用是否依赖受影响环境。

暴露规模与攻击消息要分开看

TechTarget报道援引估算称，PHP支撑约70%的互联网网站；Palo Alto Networks则识别出超过2260万个可能受PHP2Shell影响的互联网暴露实例。23 这些数字描述的是潜在覆盖面，并不意味着所有实例都运行着受影响配置，更不能直接当作已被攻陷的数量。

关于攻击活动，Amazon Threat Intelligence据报道在其MadPot诱捕系统中观察到一项可追溯至10月17日的PHP2Shell攻击尝试，早于漏洞公开披露。413 这说明公开前已有相关探测或利用尝试的报告，但现有材料没有据此证明该尝试成功侵入真实生产系统。Sansec在10月22日更新评估时也表示，大规模利用的可能性低于其在补丁发布当天的预期。10

因此，不能把“发现攻击尝试”“研究人员展示利用方式”与“确认服务器被成功入侵”混为一谈。现有材料支持的是：需要尽快清点PHP资产并应用补丁；它不足以证明PHP2Shell已经造成大规模成功入侵。

官方与云服务商的应对

美国国家安全局（NSA）建议组织盘点依赖易受影响PHP版本的硬件和软件服务，并优先应用供应商补丁；美国网络安全和基础设施安全局（CISA）也呼吁立即修补。Google、AWS和Microsoft等厂商发布了面向客户的相关指导。31718

PHP官方建议所有处理网页请求的相关安装尽快升级。对运营团队来说，第一步是查清主机、容器、托管服务和应用实际使用的PHP版本，再按所用发行版或服务商提供的方式安装更新；不能只检查网站代码仓库，因为漏洞位于PHP运行环境本身。5

10月23日另有一项后续提醒

10月23日，PHP又发布了关于CVE-2026-115560的提示。这是与特殊会话配置组合有关、被官方描述为不太可能出现的远程代码执行路径，与PHP2Shell的两项主漏洞不同。PHP建议在下一次常规缺陷修复版本发布前，将session.upload_progress.enabled设为0；官方说明，只有在特定配置和运行时切换序列化处理器等条件同时成立时才会触发该问题。19

还有哪些说法不能当作已证实事实？

关于PHP Foundation曾在2024年发现相关问题、因资源不足而出现“结构性失败”，以及OpenAI推出PHP版本检查器或承诺提供10亿美元Daybreak补贴等说法，现有材料不足以核实其完整背景和具体细节，因此不宜作为确定事实转述。

同一时期还有其他安全事件，但不能据此推断它们与PHP2Shell有关。例如，Imperva展示了利用Brotli数据在Node.js环境中运行攻击者代码的“Node2Shell”演示；另有事件汇总提及LiteLLM软件包供应链问题和eMudhra证书机构密钥事件。这些是不同事件，现有材料没有证据显示它们由PHP2Shell引发。

对网站运营者而言，最稳妥的结论并不复杂：先确认哪些服务运行PHP，再尽快安装适用补丁；同时根据自身配置检查后续安全公告。潜在暴露值得认真对待，但不应在缺乏证据时把它直接说成已发生的全面失陷。17