PHP2Shell是PHP中的两项严重漏洞，编号为CVE-2026-109618和CVE-2026-109619。两者的CVSS v4.0评分均为9.2，可能让未认证的远程攻击者在受影响服务器上执行代码。相关细节在原定披露前流出后，PHP于2026年10月21日发布修复版本。随后很快出现攻击尝试报告，但“发现尝试”并不等于“确认入侵成功”。1314

两项漏洞有什么风险？

问题出在PHP处理请求和管理内存的机制，而非某个特定网站框架。CVE-2026-109618涉及内存耗尽（OOM）处理漏洞；CVE-2026-109619则与内部状态未及时更新有关。两者报告的风险都是：攻击者无需登录，就可能远程执行代码。114

因此，即便网站应用本身没有已知漏洞，底层PHP运行时版本仍然需要检查。PHP相关运行指引指出，所有用于处理网页请求的PHP安装都应纳入排查范围。55

哪些PHP版本已修复？

PHP于2026年10月21日发布修复版本，列出的版本包括：

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35 1455

如果系统运行的是这些分支中更早的版本，应升级至对应修复版。原定披露时间为10月22日；细节提前公开后，补丁发布也随之提前。31333

漏洞编号如何提前流出？

10月20日，一则Hacker News帖子提到了这两项漏洞的CVE编号，并称相关细节原计划于10月22日公开。帖子后来被删除，但截图已在网络上传播；之后，安全研究人员证实，流出的信息属实，且漏洞当时仍处于披露协调期。3

报道将其中一项漏洞的发现归功于Calif，并称研究人员借助了OpenAI模型。相关报道还指出，Wiz也独立发现并报告了这些漏洞。不过，现有报道不足以说明每个CVE分别由哪支团队发现，也无法证实漏洞已存在约20年。2733

服务下线与官方建议

有些机构在排查风险期间出于谨慎暂时关闭了服务。报道提到与日本财务省、美国人力资源平台BambooHR、鹿特丹港和维基媒体相关的服务曾出现离线情况。服务下线本身并不能证明这些机构遭到入侵。19

美国网络安全和基础设施安全局（CISA）敦促运行PHP网站的机构立即安装补丁。33现有报道没有提供预防性下线的完整数量，也无法确认有关医院、学校及政府服务受影响的所有说法。

攻击尝试报告说明了什么？

公开信息提到了披露前后出现的活动，但不同机构的观测范围和时间各不相同：

• Amazon表示，其MadPot蜜罐在10月17日检测到一次漏洞利用尝试，早于10月21日补丁发布。蜜罐记录说明有人尝试攻击该传感器，不代表其他系统已被成功攻破。5058
• Cloudflare报告称，在漏洞公开前的10小时内，其网络观察到数千次尝试，披露后则达到数百万次。这些数字是网络层面观测到的尝试次数，并非确认遭入侵的服务器数量。36
• CISA在发布警报时表示尚未观察到漏洞利用。这反映的是该机构当时掌握的情况，不会否定其他安全厂商基于不同监测数据报告的攻击尝试。36
• Sophos更正了此前关于客户环境中出现成功利用的说法：其遥测数据显示有扫描和少量失败的尝试；截至该次更新，尚无证据表明其环境因这两项漏洞遭到成功入侵。7

综合来看，攻击尝试的记录和漏洞的潜在影响足以说明应尽快修复；但现有证据不能证明所有尝试都成功，也无法给出已被攻陷系统的确切总数。

目前仍无法确认的事项

现有报道没有提供可靠数据，说明有多少互联网暴露服务器实际受到影响；也不足以证实漏洞已存在约20年，或攻击者借助AI开发了针对PHP2Shell的利用代码。AI协助研究人员发现漏洞，与攻击者如何发现或武器化漏洞，是两回事。2733

PHP2Shell是PHP中的两项严重漏洞，编号为CVE-2026-109618和CVE-2026-109619。两者的CVSS v4.0评分均为9.2，可能让未认证的远程攻击者在受影响服务器上执行代码。相关细节在原定披露前流出后，PHP于2026年10月21日发布修复版本。随后很快出现攻击尝试报告，但“发现尝试”并不等于“确认入侵成功”。1314

两项漏洞有什么风险？

问题出在PHP处理请求和管理内存的机制，而非某个特定网站框架。CVE-2026-109618涉及内存耗尽（OOM）处理漏洞；CVE-2026-109619则与内部状态未及时更新有关。两者报告的风险都是：攻击者无需登录，就可能远程执行代码。114

因此，即便网站应用本身没有已知漏洞，底层PHP运行时版本仍然需要检查。PHP相关运行指引指出，所有用于处理网页请求的PHP安装都应纳入排查范围。55

哪些PHP版本已修复？

PHP于2026年10月21日发布修复版本，列出的版本包括：

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35 1455

如果系统运行的是这些分支中更早的版本，应升级至对应修复版。原定披露时间为10月22日；细节提前公开后，补丁发布也随之提前。31333

漏洞编号如何提前流出？

10月20日，一则Hacker News帖子提到了这两项漏洞的CVE编号，并称相关细节原计划于10月22日公开。帖子后来被删除，但截图已在网络上传播；之后，安全研究人员证实，流出的信息属实，且漏洞当时仍处于披露协调期。3

报道将其中一项漏洞的发现归功于Calif，并称研究人员借助了OpenAI模型。相关报道还指出，Wiz也独立发现并报告了这些漏洞。不过，现有报道不足以说明每个CVE分别由哪支团队发现，也无法证实漏洞已存在约20年。2733

服务下线与官方建议

有些机构在排查风险期间出于谨慎暂时关闭了服务。报道提到与日本财务省、美国人力资源平台BambooHR、鹿特丹港和维基媒体相关的服务曾出现离线情况。服务下线本身并不能证明这些机构遭到入侵。19

美国网络安全和基础设施安全局（CISA）敦促运行PHP网站的机构立即安装补丁。33现有报道没有提供预防性下线的完整数量，也无法确认有关医院、学校及政府服务受影响的所有说法。

攻击尝试报告说明了什么？

公开信息提到了披露前后出现的活动，但不同机构的观测范围和时间各不相同：

• Amazon表示，其MadPot蜜罐在10月17日检测到一次漏洞利用尝试，早于10月21日补丁发布。蜜罐记录说明有人尝试攻击该传感器，不代表其他系统已被成功攻破。5058
• Cloudflare报告称，在漏洞公开前的10小时内，其网络观察到数千次尝试，披露后则达到数百万次。这些数字是网络层面观测到的尝试次数，并非确认遭入侵的服务器数量。36
• CISA在发布警报时表示尚未观察到漏洞利用。这反映的是该机构当时掌握的情况，不会否定其他安全厂商基于不同监测数据报告的攻击尝试。36
• Sophos更正了此前关于客户环境中出现成功利用的说法：其遥测数据显示有扫描和少量失败的尝试；截至该次更新，尚无证据表明其环境因这两项漏洞遭到成功入侵。7

综合来看，攻击尝试的记录和漏洞的潜在影响足以说明应尽快修复；但现有证据不能证明所有尝试都成功，也无法给出已被攻陷系统的确切总数。

目前仍无法确认的事项

现有报道没有提供可靠数据，说明有多少互联网暴露服务器实际受到影响；也不足以证实漏洞已存在约20年，或攻击者借助AI开发了针对PHP2Shell的利用代码。AI协助研究人员发现漏洞，与攻击者如何发现或武器化漏洞，是两回事。2733