PHP2Shell 会影响我的手机吗？PHP 漏洞对 iPhone 和 Android 意味着什么

iPhoneAndroid更新

PHP 官方 2026 年 10 月 21 日的公告说，有风险的是所有处理网页请求的 PHP，这是服务器上的软件。公告没有提到手机、平板电脑或浏览器。用 iPhone 或 Android 手机浏览一个网站，不会在手机上运行这个网站的 PHP，不过被黑的网站仍可能用别的方式惹麻烦。

简要回答

PHP2Shell 是两个 PHP 高危漏洞 CVE-2026-109618 和 CVE-2026-109619 的合称。PHP 公告说，有风险的是处理网页请求的 PHP；PHP 手册说，PHP 代码在服务端运行。你的手机收到的是生成好的页面。不过系统还是要照常更新，在陌生网站上下载东西和登录时也要多留心。

PHP 公告说哪些受影响？

用 PHP 响应网页请求的服务器。公告说，PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个可能允许未经身份验证的远程代码执行的高危漏洞。在“谁有风险”一项下，它列出所有处理网页请求的 PHP，包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 和 LiteSpeed，并认为 mod_php 风险最高。

这些都是在网站背后运行 PHP 的方式。国家互联网应急中心（CNCERT）的公告也说，这些漏洞影响 WordPress、Drupal、Joomla、Laravel 等基于 PHP 环境的内容管理系统和框架，它建议用 php -v 和 php-fpm -v 命令查看 PHP 版本，并提醒命令行和 Web 服务器可能运行不同的 PHP 版本。漏洞本身见PHP 漏洞 PHP2Shell 解读，那里也讲了 PHP 官方 10 月 23 日公布的另一个可能性小得多的问题。

为什么用手机上网不会运行 PHP？

因为 PHP 在哪里干活。PHP 手册说，和客户端的 JavaScript 不同，PHP 代码是运行在服务端的；脚本运行后，客户端能接收到结果，但无法得知底层代码是什么。

手机上的浏览器就是这里说的客户端。它拿到的是结果，不是生成结果的 PHP，所以修复 PHP2Shell 是网站运营者的事。

公告没有提到 iOS 或 Android，本文也不对这两个系统内部有什么软件下任何判断。来源能支持的结论更窄：公告针对的是处理网页请求的 PHP，而手机打开网页，是接收的那一方。

被黑的网站还会给我的手机带来麻烦吗？

会，只是方式不同，而且有一点和手机有关。Google 给网站所有者的指南说，黑客可能把恶意代码注入网站，把部分用户重定向到有害网页或垃圾网页，这类重定向有时要依靠引荐来源网址、特定用户代理或设备才会运行。所以一个被黑的网站，在手机上和在电脑上的表现可能不一样。

被黑的网站能做什么、浏览器会给出哪些警告、已经在不该输入的地方输了密码怎么办，见打开被黑的网站会中毒吗。你在各种服务上的账户，见PHP 漏洞会泄露我的个人信息吗。

iPhone 怎么更新？

苹果说，要让 Apple 产品保持安全性，及时更新软件是你可以采取的一项最重要举措。这不是 PHP2Shell 的修复，只是 NCSC 也推荐的好习惯。

  1. 使用 iCloud 或电脑备份你的设备。
  2. 将设备插入电源，并通过无线局域网连入互联网。
  3. 打开“设置”，轻点“通用”，再轻点“软件更新”。
  4. 如果有可用更新，轻点“下载并安装”，然后按照屏幕上的说明操作。

要让更新自动安装，在“设置”>“通用”>“软件更新”>“自动更新”里打开“自动安装”。苹果说，有可用更新后，iPhone 会在夜间下载并安装，前提是设备处于充电状态且已接入无线局域网，安装之前你会收到通知。

Android 手机怎么更新？

先看版本：打开设备的“设置”应用，依次点按“关于本机”>“Android 版本”，可以看到 Android 版本、Android 安全更新、Google Play 系统更新和版本号。

  1. 将设备连接到 WLAN，并把电量至少充到 75%。Google 说，更新文件可能较大，需要一段时间才能完成。
  2. 打开“设置”应用，依次点按“系统”>“软件更新”。
  3. 在这里查看更新状态，然后按照屏幕上的说明操作。

Google 说，更新时间安排因设备、制造商和移动运营商而异。不是 Pixel 的手机，具体步骤以手机厂商的说明为准。

App 应该从哪里下载？

从官方商店下载，并且照 NCSC 的建议，让这些 App 也保持更新：App 和设备软件的更新一出来就安装。新加坡反诈骗网站 ScamShield 也提醒，只使用从官方应用商店（Google Play 商店或 Apple App Store）下载的官方银行 App。

在 iPhone 上，App 来自 App Store，苹果中国大陆网站说，100% 的 App 都能自动屏蔽已知的恶意软件。在 Android 上，Google Play 保护机制会检查你的应用和设备中是否存在有害行为，并在你从 Google Play 商店下载应用之前对应用运行安全检查。要确认它开着，打开 Google Play 商店应用，点按右上角的个人资料图标，依次点按“Play 保护机制”>“设置”图标，打开“使用 Play 保护机制扫描应用”。

Failshot 能做什么

你的密码是第一层，Failshot 是“第二层”设备安全（second layer device security），也就是密码之后的那一层，为有人坐到你的 Mac 前、解锁它的那一刻准备。Failshot 的 iPhone、Android 和 Windows 版即将推出。

在 Mac 上，Failshot 开启时，它会给解锁你 Mac 的人拍照，使用 Pro 时还会接着录一段 5 秒的视频，它的窗口会告诉解锁的人这次解锁被拍下了。使用 Pro 时打开邮件提醒，有一次解锁你没有确认是自己、Failshot PIN 或答案输错了，或者 Failshot 开启期间它的摄像头权限被关掉，Failshot 都会给你发邮件。解锁提醒里有照片和时间，录了视频时还附上视频。关闭 Failshot，或从它的菜单里退出，需要 Touch ID 或你的 Failshot PIN 和答案，永远不用你的 Mac 密码。

Mac 版可以从 failshot.app 免费下载，适用于 macOS 14 或更高版本。免费使用。Pro 加上视频、电子邮件提醒和加密保险库。在 failshot.app 可以免费试用 Failshot Pro 7 天：注册时绑定银行卡，除非你取消，否则在第 8 天扣费。应用界面为英文。

更多问题

iPhone 或 Android 有针对 PHP2Shell 的更新吗？

PHP 公告没有提到。截至 2026 年 10 月 23 日，它的修复是新的 PHP 版本 8.5.12、8.4.27、8.3.36 和 8.2.35，没有点名任何手机软件。苹果和 Google 自己的更新照常安装，不管它们修的是什么。

我的手机太旧，收不到更新了，要担心 PHP2Shell 吗？

PHP2Shell 本身针对的是服务器，所以这不是担心的理由。不过 NCSC 那个更大的提醒仍然成立：不再获得厂商安全更新的手机不那么安全，它建议避免购买和使用已经不受支持的手机。

PHP2Shell 会影响我的 Mac 或笔记本电脑吗？

要看电脑上有没有装 PHP，这和手机是两个问题。怎样在终端里查、怎样更新，见PHP2Shell 会影响我的 Mac 吗。

修好之前，我要停止使用网站吗？

PHP 公告、CNCERT 的公告和新加坡网络安全局（CSA）的警报都没有要求公众停止使用网站。它们的建议是给运行 PHP 的一方的：更新它。作为访客，平常的谨慎就够了，尤其是下载东西和登录页面。

这些漏洞已经被利用了吗？

截至 2026 年 10 月 23 日：美国 CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用。CNCERT 在 10 月 22 日说，漏洞技术细节与 PoC 已广泛传播。CSA 在 10 月 23 日更新的警报中说，已有针对这些漏洞的大范围利用尝试的报告。这些说法都不是说某个具体网站已被攻破。

来源