PHP 漏洞 PHP2Shell 是什么？影响谁，现在该做什么

MacWindowsiPhoneAndroid更新

PHP2Shell 是 PHP 中两个高危漏洞 CVE-2026-109618 和 CVE-2026-109619 的统称，PHP 官方已于 2026 年 10 月 21 日发布修复版本。PHP 是大量网站使用的编程语言。国家互联网应急中心（CNCERT）10 月 22 日发布公告说，未经身份验证的远程攻击者可构造恶意 HTTP 请求触发内存错误，在特定条件下实现拒绝服务、敏感数据窃取和远程代码执行。本文信息截至 2026 年 10 月 23 日。

简要回答

PHP2Shell 是 PHP 的两个高危漏洞，PHP 是许多网站背后的语言。修复版本是 8.5.12、8.4.27、8.3.36 和 8.2.35，于 2026 年 10 月 21 日发布。如果你有网站，请查看并更新 PHP 版本。如果你有 NAS 或路由器，请查看厂商的安全公告。如果你只是浏览网站，修复是网站运营者的事。

PHP2Shell 是什么漏洞？

漏洞是软件中可能被用来发起攻击的弱点。PHP2Shell 是在 PHP 本身发现的两个独立的弱点，一起公布。

PHP 官方的安全公告把两者都描述为远程代码执行漏洞，也就是别人可能让服务器执行他自己的指令。美国网络安全和基础设施安全局（CISA）称它们为“php2shell”，并说攻击者不需要登录就能利用。两个漏洞在 CVSS 4.0 评分中都是 9.2 分，PHP 官方把它们定为严重（critical）级别。CNVD（国家信息安全漏洞共享平台）的综合评级为“高危”，编号为 CNVD-2026-41674 和 CNVD-2026-41675。

PHP 运行在向你发送网页的服务器上，而不是你的手机或电脑上。PHP 的公告说，所有处理网页请求的 PHP 都在影响范围内，包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 和 LiteSpeed。其中 mod_php 的风险最高，官方说已经有可用的攻击演示。

哪些版本已经修复？

PHP 官方在 2026 年 10 月 21 日发布了四个修复版本：

你用的版本修复版本
8.5.x8.5.12
8.4.x8.4.27
8.3.x8.3.36
8.2.x8.2.35

各版本的发布说明写道：“There are no complete mitigations, updating is the only safe choice.”（没有完整的缓解办法，更新是唯一安全的选择。）

PHP 8.1 及更早的版本已经不再获得 PHP 官方的更新。公告说，一些 Linux 发行版和长期支持（LTS）厂商提供了移植的修复，建议联系厂商了解详情，或升级到仍受支持的版本。考虑到问题的严重性，PHP 安全团队还为 7.4、8.0 和 8.1 发布了最小化的源码补丁，这是给自己编译 PHP 的人用的。

谁会受到影响？

大多数人从不直接接触 PHP。和普通人有关的，主要是下面三种情况。

你有自己的网站，或者帮别人管理网站。 用 WordPress 等搭建的博客、小网店、社团网站，很多都跑在 PHP 上。英国国家网络安全中心（NCSC）说，使用任何版本 PHP 的组织都会受到影响。CNCERT 的公告也点名 WordPress、Drupal、Joomla、Laravel 等基于 PHP 的主流内容管理系统和框架受影响。先看如何查看网站的 PHP 版本，再看如何在 WordPress 网站上升级 PHP。如果网站已经出现异常，请读网站被黑了怎么办。

你有 NAS、路由器等带网页管理界面的设备。 CISA 说，PHP 常常作为其他软件的组成部分存在，不一定能直接看出来。NCSC 也提醒组织关注那些内置 PHP 的设备和服务的厂商更新。群晖（Synology）和威联通（QNAP）的情况见NAS 与 PHP2Shell。担心自己的电脑，可以看PHP2Shell 会影响我的 Mac 吗。

你只是浏览网站或网上购物。 漏洞在服务器上，修复是网站运营者的事。常见的两个疑问，分别在打开被黑的网站会不会中招和我的个人信息有风险吗里解答。

漏洞已经被利用了吗？

截至 2026 年 10 月 23 日，官方机构的说法如下：

  1. CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用。
  2. 欧盟机构的网络安全服务 CERT-EU 说，初步的概念验证代码（PoC）已经开始流传，这提高了攻击者已经在利用这些漏洞的可能性。
  3. CNCERT 10 月 22 日的公告说，漏洞技术细节与 PoC 已广泛传播。
  4. 新加坡网络安全局（CSA）在 10 月 23 日更新的警报中说，已有针对这些漏洞的大范围利用尝试的报告。
  5. 威联通 10 月 22 日的安全公告说，针对 PHP 的利用尝试已有公开报告。

“利用尝试”指有人向服务器发送攻击，看能不能成功。有尝试的报告，并不说明某个具体网站已被攻破，也不说明你的数据被拿走了。PHP 官方的意见很明确：更新是唯一安全的选择。

现在该做什么？

要看你属于哪一种情况。

如果你有网站：

  1. 查看网站用的是哪个 PHP 版本。方法见如何查看网站的 PHP 版本。
  2. 升级到修复版本，或者问你的主机商是否已经升级。CNVD 建议受影响用户通过官方渠道立即升级到最新版本，新加坡 CSA 和英国 NCSC 都建议优先处理面向互联网的系统。
  3. 暂时无法升级的，CNCERT 建议采取网络隔离、访问限制、下线非必要业务系统等临时措施。CISA 也说，无法马上更新或仍在用 PHP 8.1 及更早版本的系统，应该先下线。
  4. 如果既不能马上更新也不能下线，NCSC 建议检查系统有没有被入侵、有没有后门。

如果你有 NAS、路由器等设备，请到厂商的安全公告里找到自己的型号，有更新就安装。

如果你只是网站的访客或顾客，不需要因为 PHP2Shell 安装任何东西。NCSC 的一般建议依然适用：邮箱用一个强密码，不和别的账号共用，并开启两步验证。NCSC 还提醒，犯罪分子会借热点数据泄露事件行骗，所以对要求你登录或点链接的消息要多留个心。

还有第三个 PHP 漏洞吗？

有一个相关、但小得多的问题。PHP 官方在 10 月 23 日发布了关于 CVE-2026-115560 的信息性公告，说它只会在少见的配置和应用代码组合下出现，实际发生的可能性不大。在下一个常规修复版本之前，官方建议把 session.upload_progress.enabled 设为 0（关闭会话上传进度功能）。

更多问题

PHP2Shell 是病毒吗？

不是。它是 PHP 中两个漏洞的名字，PHP 是许多网站服务器使用的软件。修复办法是更新 PHP，由服务器管理员或主机商来做，不是在自己的手机或电脑上扫描出来的东西。

我电脑上的 PHP 也要更新吗？

多半不用。PHP 的公告说，受影响的是处理网页请求的 PHP。如果你为了做网站自己装了 PHP，那就更新它。详见PHP2Shell 会影响我的 Mac 吗。

CVSS 9.2 是什么意思？

CVSS 是给安全漏洞的严重程度打分的体系。PHP 官方按 CVSS 4.0 给这两个漏洞都打了 9.2 分，并定为严重级别。新加坡 CSA 也写明了 9.2 分（满分 10 分）。

网站用的是虚拟主机，PHP 要我自己升级吗？

先问主机商有没有装上修复版本，再确认你自己的网站设置的是哪个 PHP 版本。在哪里看，见如何查看网站的 PHP 版本。

还在用 PHP 8.1 或更早的版本怎么办？

PHP 8.1 及更早版本没有官方修复版本。官方为 7.4、8.0 和 8.1 发布了最小化的源码补丁，并建议联系厂商或升级到受支持的版本。CISA 建议，无法马上更新的此类系统先下线。

来源

所有 PHP2Shell 指南