PHP紧急修复两项已遭利用的高危远程代码执行漏洞

PHP于10月21日发布紧急安全更新，修复CVE-2026-109618和CVE-2026-109619两项漏洞。两者CVSS v4.0评分均为9.2，合称“php2shell”，可能让未认证攻击者执行远程代码。修复版本包括PHP 8.5.12、8.4.27、8.3.36和8.2.35。安全机构称，PHP 5.4以来所有未打补丁版本都可能受影响，目前没有可靠的替代缓解方案，升级是唯一安全选择。

漏洞分别涉及请求生命周期中的内存不足处理，以及状态超出内存时限。Apache mod_php已验证两条完整利用链，测试条件为默认输入和内存限制；PHP-FPM已确认存在会话生命周期漏洞，但内存不足漏洞尚未被证明能够形成完整的FPM攻击链。FrankenPHP目前仅因源代码分析被认为可能受影响。

攻击活动早于补丁公开。亚马逊威胁情报团队在MadPot遥测中发现一例可追溯至10月17日的利用尝试，来源IP与商业匿名网络有关，并建议从该日期起排查日志。Cloudflare在10月21日UTC 03:02部署WAF规则，比补丁发布早约9小时。

披露过程也出现信息提前泄露。PHP基金会称，CVE编号提前两天传播，一名研究人员误发了概念验证视频，Chainguard还单方面公开了含修复内容的构建镜像。基金会认为，这使攻击者能先研究二进制修复差异；Chainguard则表示，若确认漏洞正在遭到利用，其政策允许缩短保密期。

部分运营者选择暂时停服。有人因社交平台流出RCE分步指南，不愿等待5至6小时而关闭Apache和网站；荷兰国家网络安全中心及荷兰众议院也曾下线相关网站，但Sansec认为商家无需普遍采取停服措施。社区随后发现OPNsense、OpenMediaVault、Nextcloud和Coolify等系统依赖PHP，容器环境也增加了排查难度。

发行版补丁陆续到位，Debian Trixie、Ubuntu、Red Hat及官方Docker镜像相继更新。Ubuntu安全团队一度在披露13分钟后仍未发布补丁；维护者Ondřej Surý的PPA因流量过大瘫痪，用户被引导至packages.sury.org，另有团队根据更新后的Dockerfile自行构建镜像，仅用约8分钟完成。

验证修复时不能只看php -v。发行版可能采用回溯移植，例如Ubuntu 24.04的修复包为8.3.6-0ubuntu0.24.04.13，但显示版本仍是8.3.6；CLI版本也不能代表Web服务状态，更新后必须重启PHP-FPM或Apache工作进程。公开PoC对默认配置并不一定有效，部分GitHub样例无法运行，甚至存在伪造PoC会修改桌面壁纸的恶意仓库。

两项漏洞标注为高复杂度（AC:H）和需额外条件（AT:P），实际大规模利用程度仍有争议。PHP安全维护主要依赖少数受资助开发者，PHP 8.1及更早版本已退出官方支持，8.2将于2026年12月31日结束支持。另有尚未修复的CVE-2026-115560，官方建议在下一版修复前将session.upload_progress.enabled设为0。