PHP曝 PHP2shell 高危漏洞

2026年10月21日（北京时间10月22日），PHP 官方发布代号 **php2shell** 的远程代码执行漏洞安全通告，一次性披露两个内核高危漏洞，漏洞编号：CVE-2026-109618、CVE-2026-109619。漏洞风险等级为严重，所有使用 PHP 搭建网站、对外提供 Web 服务的用户，请立刻升级修复。

目前宝塔面板已经上线部分修复版本，论坛相关升级信息也刷爆了。

官方通告原文地址：https://www.php.net/archive/2026.php

受影响版本与对应的安全版本：

• PHP 8.2：低于8.2.35的版本，建议升级至8.2.35或更高版本。
• PHP 8.3：低于8.3.36的版本，建议升级至8.3.36或更高版本。
• PHP 8.4：低于8.4.27的版本，建议升级至8.4.27或更高版本。
• PHP 8.5：低于8.5.12的版本，建议升级至8.5.12或更高版本。
• PHP 8.1、8.0、7.4及更早版本，已经停止维护，官方不再提供修复版本。

攻击者无需任何身份验证，仅向目标服务器发送**特制的 multipart POST 请求**，就可以触发内核内存缺陷，引发内存破坏，最终实现远程代码执行。该攻击甚至可以在网站业务代码运行之前触发，危害极大，一旦被利用，服务器将面临完全被控风险。

攻击者无需任何身份验证，仅向目标服务器发送**特制的 multipart POST 请求**，就可以触发内核内存缺陷，引发内存破坏，最终实现远程代码执行。该攻击甚至可以在网站业务代码运行之前触发，危害极大，一旦被利用，服务器将面临完全被控风险。

漏洞原理

CVE-2026-109618，漏洞根源和 PHP 内存耗尽（OOM）时的异常退出机制相关。当内存分配失败，程序中途中断，请求内部数据会处于未初始化的无效状态；后续清理逻辑误将无效数据判定为合法数据，引发内存破坏，最终达成代码执行。

CVE-2026-109619 则来自 PHP 工作进程的跨请求全局状态残留问题。请求对应的内存释放后，一部分状态数据没有被及时重置清除；同一个 worker 进程处理下一条请求时，会读取这份已经失效的脏内存，触发释放后使用（Use-After-Free）内存安全漏洞，同样可以实现远程代码执行。

漏洞一旦被攻击者利用，将以 Web 进程的运行身份执行任意系统指令，后果包括服务器失陷、数据库等敏感数据泄露、植入后门与恶意程序等。

在 AI 技术快速爆发的当下，攻防格局已然反转：借助 AI 工具，漏洞挖掘的门槛大幅降低，攻击者的漏洞发现、POC 构造效率显著提升，网络安全对抗形势日趋严峻。

还有不少网站受程序兼容桎梏，只能跑在早已停更的老旧 PHP 版本上，无官方补丁，升级即面临业务崩溃的风险，陷入进退维谷的局面。