公告编号： VODIENS-SEC-20261021-01
发布日期： 2026 年 10 月 21 日
安全等级： 严重（Critical）
漏洞编号： CVE-2026-109618、CVE-2026-109619
CVSS v4.0 评分： 9.2 / 10
一、漏洞概述
近日，PHP 官方披露并修复了两项严重的远程代码执行（RCE）安全漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619。安全社区将此次漏洞事件称为 PHP2Shell。
根据 PHP 官方安全公告，两项漏洞均涉及 PHP 核心内部状态及内存处理机制。攻击者在特定条件下，可能通过构造恶意 HTTP 请求触发漏洞，并在未经身份验证的情况下实现远程代码执行。
由于 PHP 广泛应用于 WordPress、WHMCS、Magento、Shopware 等网站程序及各类 Web 应用，此次安全事件可能影响使用相关 PHP 运行环境的网站和服务器。
需要注意： 漏洞是否能够在特定环境中被利用，取决于 PHP 版本、运行方式、配置及相关触发条件。不能仅凭网站使用 PHP，就认定该网站已经遭到攻击或被成功入侵。
二、漏洞基本信息
| 项目 | 说明 |
|---|---|
| 漏洞编号 | CVE-2026-109618 |
| 漏洞编号 | CVE-2026-109619 |
| 风险等级 | 严重（Critical） |
| CVSS 版本及评分 | CVSS v4.0，9.2 |
| 漏洞类型 | 远程代码执行（RCE）、内存安全问题 |
| 影响组件 | PHP 核心及相关 Web 运行环境 |
| 潜在影响 | 未经授权的代码执行、网站数据泄露、网站文件被篡改及服务器安全受损 |
三、影响范围
PHP 官方指出，所有处理 Web 请求的 PHP 运行环境均应进行安全核查，包括 PHP-FPM、Apache mod_php、PHP-CGI、FrankenPHP 和 LiteSpeed 等运行方式。
PHP 官方已发布以下安全修复版本：
- PHP 8.2：8.2.35
- PHP 8.3：8.3.36
- PHP 8.4：8.4.27
- PHP 8.5：8.5.12
对于 PHP 8.1 及更早的旧版本，PHP 官方已不再提供常规安全更新。不过，部分操作系统发行版、长期支持服务商及 PHP 官方提供了特定版本的安全回补方案。具体能否修复，需要根据实际使用的版本、构建方式及补丁来源进行核实。
因此，使用旧版 PHP 的网站应重点检查安全回补情况，不应仅凭版本号或常规安全设置判断是否安全。
四、风险说明
如果相关漏洞在目标环境中具备可利用条件，攻击者可能绕过常规的应用层认证流程，尝试执行未经授权的代码。
潜在后果包括：
- 网站程序及业务数据遭到未授权访问。
- 网站文件、配置文件或应用程序被篡改。
- PHP 运行账户权限范围内的数据和资源受到影响。
- 在权限配置不当或存在其他安全缺陷的情况下，风险可能进一步扩大。
此次漏洞位于 PHP 运行环境本身，并非仅针对某一个 WordPress 插件、WHMCS 模块或特定网站程序。因此，仅更新应用插件、开启文件防篡改或配置常规 WAF 规则，均不能作为完整的漏洞修复方案。
五、建议采取的安全措施
为降低漏洞风险，VODIENS 建议相关用户及服务器管理员按照以下顺序开展处置。
1. 核查 PHP 运行版本
盘点服务器上已安装及实际运行的 PHP 版本，重点检查 PHP-FPM、Apache mod_php、PHP-CGI 等 Web 请求处理组件。
对于同时安装多个 PHP 版本的服务器，应分别确认各网站实际调用的 PHP 运行环境，避免遗漏未使用最新安全补丁的实例。
2. 优先应用官方安全修复
对于 PHP 8.2、8.3、8.4 和 8.5，建议升级至上述对应的官方安全版本，或安装经过核实、包含相同漏洞修复的操作系统发行版安全更新。
对于 PHP 7.4、8.0、8.1 等旧版本，应优先核实可信供应商提供的安全回补方案。安装补丁后，应确认实际运行的 PHP 进程已经加载修复后的代码。
3. 加强网络访问控制
在完成修复前，可结合业务情况采取临时风险控制措施：
- 限制不必要的公网管理接口及服务端口访问。
- 根据实际业务需要，合理限制 HTTP 请求体大小、请求复杂度及文件上传行为。
- 检查 WAF、防火墙和安全日志，及时识别异常请求及可疑进程。
- 对暂时无法修复且存在较高暴露风险的业务，评估临时限制公网访问或隔离运行环境。
以上措施主要用于降低风险和缩小攻击面，不能替代完整的 PHP 安全补丁。
4. 检查服务器及网站安全状态
完成修复后，建议进一步检查 Web 访问日志、PHP-FPM 日志、系统认证日志、异常进程、计划任务及网站文件变更记录。
如发现异常登录、可疑进程、未知文件或未经授权的配置变更，应进一步开展安全事件调查。仅完成版本更新并不能证明此前没有发生过入侵。
5. 做好备份及业务验证
在更新 PHP 或部署安全回补前，应备份相关配置文件和必要的数据，并在维护窗口内实施。
修复完成后，应验证网站访问、用户登录、表单提交、文件上传、数据库连接及定时任务等功能，确保安全修复不会影响正常业务运行。
六、关于系统加固与防篡改
开启操作系统安全加固、防火墙、文件防篡改和 WAF，有助于构建多层防护体系，但这些措施不能保证 PHP 核心漏洞不会被利用。
PHP2Shell 涉及运行时底层机制，最有效的处置方式仍是部署经过验证的漏洞修复版本。对于暂时无法更新的旧版环境，应结合官方缓解建议、网络隔离和运行权限控制制定临时防护方案。
七、官方参考资料
为便于用户核实漏洞详情及修复状态，建议参考以下官方资料：
- PHP 官方安全公告：https://www.php.net/index.php
- CVE-2026-109618 官方技术公告：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- CVE-2026-109619 官方技术公告：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- PHP 8.3.36 官方发布说明：https://www.php.net/releases/8_3_36.php
请以 PHP 官方公告及所使用操作系统、PHP 运行环境供应商发布的安全信息为准。
八、 安全建议
沃迪安网络提醒所有使用 PHP 运行环境的客户，及时核查自身服务器和网站程序的安全状态，优先完成官方补丁更新，并持续关注后续安全公告。
对于自行管理 PHP 环境的云服务器用户，建议由具备相应权限的管理员完成版本核查、补丁部署及安全验证；对于使用第三方托管服务的用户，应联系对应服务提供商确认修复进度。
安全提示： 开启系统加固、防篡改及防火墙等防护措施非常重要，但不能代替 PHP 核心漏洞修复。建议用户尽快完成安全检查，降低潜在的远程代码执行风险。
沃迪安网络 将持续关注相关安全公告及修复进展，并建议用户以官方发布的信息为依据，及时采取适当的安全防护措施。
—— 沃迪安网络安全运营部
