PHP 的 php2shell 漏洞怎么修，还有四条安全通告怎么处理

用 PHP 做网站的需要尽快做一件事把 PHP 升到 8.5.12、8.4.27、8.3.36、8.2.35 当中的一个和你现在用的版本线对应升完重启 PHP。补丁 2026 年 10 月 21 日已经发布php.net 的官方公告说得很直接只有升级是完整办法。这两个漏洞代号 php2shellCVE-2026-109618、CVE-2026-109619阿里云给我发了短信提醒网上说法很多。下面按顺序讲四件事事情怎么来的、漏洞是什么、你要做哪些操作、到底有多危险。阿里云同一份报告里还提醒了另外四件事放在最后一节。事情按时间怎么来的2024 年PHP 做了一次外部安全审计出钱的是 PHP 基金会和德国的 Sovereign Tech Agency组织方 OSTIF执行方 Quarkslab。修审计问题的时候开发者撞见一个老毛病PHP 在内存不够用的时候自己的清理代码会出错。当时没想到具体的攻击办法几个修复方案又各有代价安全团队一直定不下来一拖两年。PHP 基金会后来自己复盘承认这是流程和人手的问题PHP 基金会复盘。2026 年 7 月 30 日安全公司 Calif 通过 OpenAI 的 Patch the Planet 项目开始审计 PHP。8 月 11 日Calif 的研究员 Ryan A 报出一个严重问题不用登录就能远程执行命令根子就是 2024 年那个内存问题。OpenAI 同一天独立报了同一个根子8 月 24 日 Wiz、9 月 18 日 OpenAI 又补了别的攻击路径PHP 基金会复盘。10 月 20 日两个漏洞编号在论坛和社交平台先传了出来带着错误的发布时间和 10.0 的错误评分实际是 9.2。官方只好提前发预告补丁发布从 10 月 22 日提前到 21 日。当天 Calif 误发过一段漏洞演示视频删掉后副本已经传开PHP 基金会复盘。10 月 21 日这一天事情最多。凌晨 07:41UTCChainguard 提前把带补丁的镜像发了出来比官方约定的发布时间早六个多小时等于让攻击者可以对着二进制研究补丁大部分用户还在等包。晚上 23:00日本时间官方发布补丁。发补丁之前20:55 日本首相高市早苗在 X 上发帖请站长确认网站是不是用 PHP今晚的补丁尽快打实在来不及就先把网站停下来。据 OSCHINA 报道这条帖子浏览量超过五千七百万。漏洞是什么先解释一个词。远程代码执行RCE的意思是攻击者不用登录就能在你的服务器上运行他自己的命令机器等于归他了。php2shell 是两个洞都出在 PHP 自己身上跟你网站代码写得好不好没关系php.net 官方公告CVE-2026-109618PHP 处理「内存不够用」OOM的时候内部数据建到一半被打断清理代码把半成品当成正常数据用了内存就乱了。CVE-2026-109619上一个请求用完的内存被释放了PHP 内部却还留着指向它的旧数据同一个 PHP 进程处理下一个请求时会去用这些旧数据。两个洞都在每个网页请求都会走的代码里。官方说所有对外提供网页的 PHP 都受影响包括 PHP-FPM、Apache mod_php、php-cgi、LiteSpeed、FrankenPHP。用 Apache mod_php 的最危险攻击请求在你的应用代码运行之前就能触发php.net 官方公告。已经停止维护的老版本也在影响范围内。watchTowr 确认 PHP 5、PHP 7 都受影响但官方只给 8.2 及以上的版本出补丁watchTowr FAQ。你要做的操作第一步查版本。在服务器上执行php -v看现在用的是哪条版本线。第二步升级。升到 8.5.12、8.4.27、8.3.36、8.2.35 当中对应的那个。Linux 发行版和 LTS 厂商提前拿到了补丁用系统包管理升级就行php.net 官方公告。第三步重启。升级后把每个 PHP 进程重启一遍不重启补丁不生效watchTowr 的处置步骤。老版本怎么办。8.1 及更早官方不再出补丁版本。7.4、8.0、8.1 可以用官方放出的源码修复分支或者发行版、LTS 厂商的补丁包7.3 和更老的版本没有修复只能换版本线php.net 官方公告、watchTowr FAQ。8.2 到 2026 年 12 月 31 日也停止维护顺手把升级计划排上。实在升不了的临时办法。官方公告明说这些只减少风险、不能根治。我照公告原文摘出来没在自己机器上验证过改之前先在测试环境试记得备份配置防第一个洞把memory_limit-1用应用改不了的方式固定比如 FPM pool 或 Apache 配置里的php_admin_value再把post_max_size调小不需要上传的站设 8M需要上传的设 32M。防第二个洞把session.upload_progress.enabled0然后重启所有 PHP 进程PHP 8.5 再加fatal_error_backtraces0。这两条只挡住已经确认的攻击路径别的变体挡不住。到底有多危险目前公开的说法互相矛盾我按来源摆出来不替你下结论。watchTowr 说他们的全球蜜罐从 10 月 21 日起看到了真实攻击watchTowr FAQ。不过截至 10 月 22 日美国 CISA 的已知被利用漏洞清单还没收录这两个洞。PHP 官方说补丁发布前他们一直盯着网上出现的攻击脚本PoC到发布时没见到真正能用的PHP 基金会复盘。Elias Taylor 的个人分析说GitHub 上有几千份所谓 PoC但都打不动一台普通的 PHP 服务器不少还得先靠另一个漏洞比如文件包含才能「演示成功」有人甚至为了演示先给测试服务器埋了洞。他的结论是这个漏洞远没到 Log4Shell 那个好利用的程度这是他的分析不是官方结论。普通人记两句就够到底有没有人真的打成功现在谁也说不死但升级这件事没有争议官方、watchTowr、写分析的人三家都让你先打补丁照做就行。阿里云报告里的另外四件事下面四条来自阿里云安全态势报告2026 年 9 月和 PHP 这件事无关同一期通告里一起提醒了。JumpServer 被利用已经有人中招。JumpServer 是开源堡垒机很多公司用它连内网服务器。阿里云说云上已经有主机被打攻击用的是它 Web 终端组件 Chen 里一个数据解析漏洞fastjsonCVE-2026-16723不用登录就能执行命令然后装挖矿或后门。官方修复版本是 v3.10.22 LTS 和 v4.10.17 LTS修法是直接删掉那个有问题的组件。攻击回连的域名cdn.876553.xyz可以拿去查日志、做阻断。堡垒机手里攥着进内网的路这条和 PHP 一样先处理。Spring Boot 应用被批量攻击。这条没有漏洞编号被打的是暴露在公网、又留着未鉴权命令接口的 Spring Boot 应用阿里云举的例子有游戏后台、登录认证服务、工作流引擎。攻击者先看机器情况再下载挖矿程序和后门。处理办法是把这类应用收回内网或者前面挡一层防火墙同时关掉 beanShell、Groovy 这类脚本接口和 Actuator 里的/env、/heapdump、/jolokia。阿里云提醒关这些接口可能影响运维功能先在测试环境试。哪吒监控的 agent 被当成执行工具。这条全程没用漏洞走的是面板和 agent 本来就有的下发命令功能。哪吒监控的 agent 以 root 跑在机器上面板或账号被人接管后攻击者就用它下载木马Poseidon.H藏在/usr/lib/.sysd/svc装成系统进程[kworker]常驻。处理办法是监控面板不暴露到公网、开强密码和二次验证、换掉旧凭据排查时看 nezha-agent 进程有没有莫名其妙拉起 sh 去下载文件。杀毒软件对这种打法没什么用得看主机行为告警。GitLab 有个满分漏洞CVE-2026-97229。出在 CI/CD 配置里正则表达式的编译环节构造好的正则能让 GitLab 内部的正则引擎算错长度、破坏内存攻击者通过 CI Lint 接口就能以 git 用户身份执行命令不用登录。影响 19.2.0 到 19.2.7、19.3.0 到 19.3.4、19.4.0 到 19.4.1修在 19.2.8、19.3.5、19.4.2。10 月 13 日披露利用代码已经公开阿里云说暂时没看到在野攻击。升级前记得备份数据、测插件兼容。参考资料PHP 安全公告2026-10-21里的两个严重远程代码执行漏洞PHP 基金会复盘 Today’s PHP Security ReleasewatchTowr PHP2Shell FAQElias Taylor 的文章 There isn’t an easy exploit for this PHP vulnerability阿里云安全态势报告2026 年 9 月OSCHINA 的两篇报道PHP 漏洞惊动日本首相和watchTowr PHP2Shell FAQ 摘要