一场波及全球互联网基础设施的沉大网络安全事务引发国际社会高度关注。10月21日，全球宽泛使用的服务器端编程说话PHP被曝存在两项严沉安全缝隙（CVE-2026-109618、CVE-2026-109619），统称为“PHP2Shell”，缝隙危险评分均高达8.1分。攻击者在特定前提下无需身份认证，即可利用缝隙实现远程代码执行，甚至获取服务器节造权限。

    由于PHP宽泛利用于当局网站、企业业务系统及各类互联网平台，这次缝隙影响领域宽泛，潜在安全风险凸起。缝隙披露后，多国当拘陌网络安全机构迅速采取应急措施。美国联国调查局（FBI）、美国国度安全局（NSA）、欧盟推算机应急响应团队（CERT-EU）等机构相继发出安全忠告。日本首相高市早苗公开呼吁有关机构尽快部署安全补丁，必要时暂停网站服务。据媒体报路，荷兰、芬兰等国度的部门当局网站已采取预防性下线措施，日本部门当部门门及企业也垂危发展系统守护，凸显这次事务的严沉性与紧迫性。

    值得关注的是，这次缝隙涉及PHP底层内存处置机造，影响多个主流版本及常见Web运行环境，大量已终场官方守护的汗青版本进一步增长了建复难度。同时，AI技术在这次缝隙发现与建复协调过程中阐扬了沉要作用，也反映出AI在加快扭转网络安全攻防态势。

    目前，tyc8722太阳集团城CERT已发此刻野利用，tyc8722太阳集团城安全产品可支持检测。鉴于这次缝隙涉及领域广、潜在风险严沉，建议政企单元高度器沉，可参考以下措置建议，立即发展有关资产排查、缝隙核查及建复加固工作，切实防备缝隙遭恶意利用引发网络安全事务。

    以下为tyc8722太阳集团城CERT针对“PHP2Shell”缝隙的最新风险公告。

    01

    >>>>

    影响组件

    PHP 是一种宽泛使用的开源服务器端剧本说话，重要运行于 Web 服务器端，支持 Apache mod_php、PHP-FPM（共同 Nginx、Apache mod_proxy_fcgi）、FrankenPHP、LiteSpeed LSAPI 等多种部署方式。W3Techs 统计显示，全球约四分之三的网站使用 PHP 作为服务器端编程说话，WordPress、Drupal、Joomla、MediaWiki、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS 等主流畅用均依赖 PHP。

    >>>>

    缝霞述

    近日，tyc8722太阳集团城CERT监测到官方建复PHP 远程代码执行缝隙(CVE-2026-109618、CVE-2026-109619)，两个缝隙均与 PHP 要求性命周期天堑上的状态治理缺点有关：CVE-2026-109618 利用内存耗。∣OM）时的 longjmp() 提前退出，使尚未实现初始化的要求内存在 request shutdown 阶段被谬误消费；CVE-2026-109619 利用 worker 全局状态在要求实现后未正确沉置，使后续要求在正常初始化之前接见已开释的要求内存。攻击者无需认证，通过机关恶意 HTTP 要求即可触发开释后沉用（UAF），进而实现内存泄露和远程代码执行。目前该缝隙PoC和技术细节已公开。鉴于该缝隙已发此刻野利用，建议客户尽快做好自查及防护。

    本次更新内容：

    更新缝隙状态；

    新增产线解决规划。

    >>>>

    利用前提

    无需登录、无需用户交互、无需利用层缝隙；攻击面为可接管 HTTP 要求的 PHP 端点，蕴含静态站点中的单一 PHP 页面。

    02

    影响领域

    >>>>

    影响版本

    PHP < 8.2.35

    PHP < 8.3.36

    PHP < 8.4.27

    PHP < 8.5.12

    仍在守护的分支：

    PHP 8.5、8.4、8.3 仍处于现行守护期，应优先升级到对应建复版本或更高版本。8.2.35 是当前可用的建复版本，也是 8.2 分支最后的升级功夫窗口之一；建议尽快规划升级到 8.3 或更高版本。

    已终场守护的分支：

    PHP 8.1、8.0、7.4 及更早版本已终场官方支持，PHP 官方不再颁布建复版本。

    PHP ≤ 7.3 / 5.x 同样已终场守护，官方不提供建复版本，应优先升级。

    >>>>

    其他受影响组件

    以 PHP 为运行时的利用、框架与建站系统可能间接受影响，涉及 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal 等，以及 mod_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署状态。

    03

    复近况况

    目前，tyc8722太阳集团城CERT已成功复现PHP 远程代码执行缝隙(CVE-2026-109618、CVE-2026-109619)，截图如下：

    04

    措置建议

    >>>>

    安全更新

    官方已颁布安全补丁，请实时更新至最新版本：

    PHP 8.5.12

    PHP 8.4.27

    PHP 8.3.36

    PHP 8.2.35

    下载地址：

    https://www.php.net/downloads.php

    1. 升级后必须沉启 Apache、PHP-FPM 及所有常驻 worker，确保旧过程不再处置要求；仅代替二进造而不沉启过程不能解除风险。

    2. 容器环境应沉新构建镜像，预防沿用蕴含旧 PHP 的 layer；Kubernetes 环境应滚动沉启所有 Pod，并确认没有旧 ReplicaSet 持续服务。

    3. 刊行版仓库（Ubuntu、Debian、RHEL、Alpine 等）和集成环境（宝塔、phpStudy、XAMPP、Docker 官方镜像等）可能存在同步延长，请以 `php -v`、`php-fpm -v` 的现实输出为准，不要仅查对包治理器版本号。

    4. PHP 8.1 及更早版本已终场支持，官方不再提供补丁，建议迁徙至 PHP 8.2 或更高版本；若使用刊行版持久支持分支，请以厂商 backport 布告为准。

    5. 共享主机和虚构主机用户应联系服务商确认 PHP 版本；多租户环境需确认所有租户事俘均已升级。

    把稳：

    不要使用 RLIMIT_AS 或 RLIMIT_DATA 作为缓解措施。这些限度会导致 mmap() 失败，从而触发 CVE-2026-109618 所依赖的 longjmp() 蹊径。

    >>>>

    产品解决规划

    tyc8722太阳集团城网神云锁服务器安全治理系统（椒图）检测规划

    tyc8722太阳集团城网神云锁服务器安全治理系统（椒图）默认已有RCE规定支持检测，无需更新。

    tyc8722太阳集团城天眼检测规划

    tyc8722太阳集团城天眼新一代安全感知系统已经可能有效检测针对该缝隙的攻击。规定ID及规定名称：

    0x10022A87，PHP 远程代码执行缝隙(CVE-2026-109618/CVE-2026-109619)。15155版本覆盖，规定预计10-22号颁布。tyc8722太阳集团城天眼流量探针规定升级步骤：系统配置->设备升级->规定升级，选择“网络升级”或“本地升级”。

    05

    参考资料

    [1]https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

    [2]https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

    [3]https://calif.io/php2shell/#writeup

    06

    功夫线

    2026年10月21日，缝隙公开披露：CVE 信息已公开，可据此查对受影响产品与版本并启动建复。

    2026年10月22日，tyc8722太阳集团城 CERT已复现该缝隙，颁布安全风险公告。

    2026年10月22日，该缝隙已发此刻野利用，颁布安全风险公告第二次更新。