PHP 核心曝两个严重 RCE 漏洞（2026-10-21）补丁更新

PHP 曝双高危核心 RCE 零日漏洞（CVE-2026-109618/109619），利用工具“PHP2Shell”已提前泄露

编号：CVE-2026-109618、CVE-2026-109619

安全公司 watchTowr 已确认两个都是远程代码执行（RCE），也就是可以拿 shell。

漏洞在 PHP 本身，不在某个面板或框架里。面板代码写得再干净也挡不住。

Sansec 等安全公司称 PHP 5.4 及以后的版本都受影响。具体范围以官方公告为准。

只有 8.2、8.3、8.4、8.5 会收到官方补丁。8.1 及以下（包括大量还在跑的 5.6 和 7.x）官方不会修。

安全公司预计补丁发布后 15 分钟内就会出现大规模扫描和攻击。

截止当前，PHP8.2～PHP8.5 均已收到补丁更新，请使用这些版本的前去更新，使用 8.1 及以下的请自行关注 PHP 第三方补丁更新

鉴于漏洞细节与利用工具已经公开，企业安全团队与个人站长切勿被动等待，请立即按照以下步骤执行应急加固：

1. 锁定补丁升级窗口（首要任务）

请密切关注 PHP 官方网站（php.net）及您所使用的操作系统软件源（Ubuntu/Debian APT、RHEL/Rocky YUM/DNF、Alpine APK 以及 Docker 官方镜像库）。在 今日 14:00 UTC（北京时间 22:00） 补丁发布后，第一时间执行版本升级并重启 PHP-FPM 或 Apache/Nginx 服务。

2. 补丁发布前的临时缓解措施（WAF 与配置加固）

在完成升级前的数小时内，建议采取以下纵深防御手段阻断 PHP2Shell 的自动化攻击：

启用云端 WAF 虚拟补丁： 主流云安全厂商（如 Cloudflare、AWS WAF、阿里云、腾讯云等）通常会在漏洞泄露后数小时内紧急上线针对特定 CVE 和工具特征（如 PHP2Shell 的默认 User-Agent、异常请求头或畸形编码载荷）的拦截规则。请确保 WAF 处于“拦截（Block）”模式而非仅告警。

收紧 php.ini 危险函数： 即使攻击者触发了底层漏洞，限制系统命令执行函数也能大幅增加其获取 Shell 的难度。请检查 php.ini 并确保以下函数已被禁用：

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source,pcntl_exec

严格限制网络出站（Egress Filtering）： 在防火墙层面限制 Web 服务器主动向外发起非必要的 TCP/UDP 连接，防止攻击者通过 PHP2Shell 投递反弹 Shell（Reverse Shell）或下载后续勒索软件、挖矿木马。

3. 入侵排查与日志审计

由于泄露发生在 10月20日，您的服务器可能已经历过首波扫描。请立即排查自 10月20日 00:00 以来的系统记录：

检查 Web 访问日志（access.log / error.log）中是否存在针对不常见 PHP 端点的异常 POST 请求或超长畸形 Header。

检查 Web 目录（尤其是可写目录如 uploads/、tmp/、cache/）在过去 24 小时内是否有新增或被篡改的 .php 文件。

使用 ps aux 或 top 检查运行 PHP 的系统用户（如 www-data、nginx、apache）名下是否存在异常的子进程（如 sh、bash、curl、wget、python 等）。