你的路由器或家用防火墙在跑 PHP 吗？PHP2Shell 对它意味着什么

WindowsMac更新

2026 年 10 月 21 日，也就是 PHP 官方公布 PHP2Shell 漏洞的当天，pfSense 的开发商 Netgate 和 OPNsense 团队都为各自的防火墙软件发布了 PHP 更新。普通家用路由器受不受影响，要看厂商有没有把 PHP 装进去，而这只有厂商能告诉你。本文信息截至 2026 年 10 月 23 日。

简要回答

PHP2Shell 影响的是处理网页请求的 PHP，有些网络设备的管理页面就是用 PHP 做的。pfSense 和 OPNsense 已经发布修复。其他路由器，请到厂商的支持页面找固件更新，不要让管理页面暴露在互联网上，有更新就安装。

PHP2Shell 会影响我的路由器吗？

只有路由器里跑着 PHP 才会，而大多数用户从外面看不出来。PHP 官方的公告说，CVE-2026-109618 和 CVE-2026-109619 这两个漏洞会让所有处理网页请求的 PHP 面临风险，可能导致未经身份验证的远程代码执行。说白了，就是别人不用登录，就可能在设备上运行自己的命令。

美国网络安全和基础设施安全局（CISA）说，PHP 常常是其他软件的组成部分，用了多少不一定能直接看出来。英国国家网络安全中心（NCSC）也说，PHP 还被用在一系列其他产品里。新加坡网络安全局（CSA）建议检查第三方应用或组件里有没有用到 PHP。所以一台设备可能装着 PHP，包装盒上却不会写。

本页没有点名任何家用路由器品牌，因为只有厂商自己的公告说明其产品受影响或已修复，我们才会列出。已经这样说明的两家如下。

Netgate 对 pfSense 怎么说？

Netgate 2026 年 10 月 21 日的文章说，这两个漏洞影响 pfSense 软件。它补充说，只有 pfSense 的 PHP 图形界面（也就是网页管理页面）或强制门户（Captive Portal）服务暴露给潜在攻击者时，才需要担心。

Netgate 说，默认情况下管理页面只能从局域网访问，不能从互联网访问，强制门户也没有开启。它列出的已更新版本是：

  1. pfSense Plus 26.07 和 26.03.1，以及 pfSense CE 2.9.0，PHP 已更新为 8.5.12。
  2. pfSense CE 2.8.1，PHP 已更新为 8.3.36。

这次更新不能在网页管理页面里完成。Netgate 说必须在命令行里通过 SSH 或控制台执行，文章里给出了具体命令。把管理页面暴露在互联网上的用户，应该立即更新、修改规则，此后只通过 VPN 等安全方式访问管理页面。使用强制门户的用户应尽快更新。Netgate 说，不用强制门户、又按安全做法用防火墙规则限制管理页面访问的用户不受影响，但为了安全，仍应在方便时更新。

OPNsense 怎么说？

OPNsense 2026 年 10 月 21 日的公告列出了带新版 PHP 的修复：社区版 26.7.7 搭配 PHP 8.5.12，社区版 26.1.11 搭配 PHP 8.3.36，以及商业版的一个更新（26.4.2p4，搭配 PHP 8.3.36）。OPNsense 的 26.7 发布说明在 26.7.7 下列出了针对 CVE-2026-109618 和 CVE-2026-109619 的带外修复，即 PHP 8.5.12。

OPNsense 的公告强烈建议尽快安装这个更新。如果你用强制门户，它说安装后要重启强制门户服务，修复才会生效。

CISA 和 NCSC 对内置 PHP 的设备怎么说？

两个机构的建议都是写给组织的，也都不只针对自己搭建的服务器。NCSC 的建议是持续关注第三方厂商的安全更新，包括那些可能内置 PHP 的设备和服务。CISA 的建议是找出并列出所有运行任何版本 PHP 的系统，优先给面向互联网的系统打补丁，无法更新的就下线。国家互联网应急中心（CNCERT）也建议按照非必要不上网的原则，缩小信息系统的公网暴露面。

放到家庭网络里，落实起来就是去看路由器厂商的支持页面。关于利用情况，截至 2026 年 10 月 23 日：CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用。CNCERT 说，漏洞技术细节与 PoC 已广泛传播。新加坡 CSA 说，已有针对这些漏洞的大范围利用尝试的报告。威联通的公告说，针对 PHP 的利用尝试已有公开报告。

我的家用路由器该怎么做？

像对待任何一台你看不到内部软件的设备一样对待它。CISA 关于家庭 Wi-Fi 的指南讲到了这里用得上的几点，它也提醒每台路由器都不一样，具体菜单要看你自己路由器的说明书。

  1. 找到路由器的品牌和型号，打开厂商针对这个型号的支持页面。
  2. 找安全通知或固件更新。CISA 说，定期更新能保护你免受已知漏洞的影响，有些路由器可以自动安装更新。
  3. 安装厂商提供的任何固件更新。
  4. 关闭远程管理。CISA 说，这个设置让你可以通过互联网登录路由器修改设置，关掉之后，别人必须先连上你的网络才能改。
  5. 如果不需要 UPnP，就关掉它。原因见如何关闭 UPnP 和端口转发。
  6. 如果路由器还在用默认的管理密码，就改掉。CISA 说，默认的登录信息可能是公开的，新密码应该长、随机且独一无二。

如果你家里还有 NAS，群晖和威联通各有自己的公告，见NAS 与 PHP2Shell。

更多问题

有受 PHP2Shell 影响的产品清单吗？

英国 NCSC 链接了一份可能受影响的、依赖 PHP 的软件产品清单，由荷兰国家网络安全中心（NCSC-NL）在 GitHub 上维护。清单说它会随着情况变化不断更新，所以可以作为起点。你那个型号的情况，以路由器厂商自己的通知为准。

我能自己更新路由器上的 PHP 吗？

大多数家用路由器不行。路由器里如果有 PHP，也是装在厂商的固件里，所以修复会以固件更新的形式到来。pfSense 和 OPNsense 不一样：用户要按各自项目通知里的步骤，自己安装更新后的 PHP。

路由器的管理页面只能在家里访问，这样安全吗？

Netgate 说，把管理页面限制在可信网络、又不用强制门户的 pfSense 用户不受影响，但仍应更新。威联通则提醒，把访问限制在局域网，并不能防范网络里已经被入侵的设备。修复办法仍然是更新。

还没有更新时，有没有临时办法？

PHP 官方说，只有更新才是完整的解决办法，它给出的临时设置能减少暴露，但不能让系统变得安全。这些设置是给自己运行 PHP 的人用的。对路由器来说，你能掌控的是不让管理页面暴露在互联网上，并安装厂商的更新。

PHP2Shell 是什么？

它是 PHP 两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619 的统称，两者在 CVSS 4.0 评分中都是 9.2 分，于 2026 年 10 月 21 日公布。修复版本见PHP 漏洞 PHP2Shell 是什么。

来源