——PHP 核心内存安全漏洞（CVE-2026-109618 / CVE-2026-109619）行业动态观察

2026年10月21日，PHP官方紧急发布安全更新，修复两个严重内存安全漏洞CVE-2026-109618与CVE-2026-109619，业内统称“PHP2Shell”。该漏洞可导致未经身份验证的远程攻击者触发内存破坏并实现远程代码执行，进而完全控制服务器。消息公布后，全球多国政府与企业网站为避险主动下线，一场波及全球互联网的安全警报就此拉响。

图 1  PHP2Shell 高危漏洞告警主视觉（配图）

一、PHP2Shell是什么？为何影响如此严重

PHP2Shell并非某个具体应用中的缺陷，而是PHP核心引擎内部的一类内存安全漏洞家族，包含两类相互关联的漏洞，分别对应两个CVE。漏洞位于PHP本身，即使业务代码写得再严谨，哪怕只是一个简单的“Hello World”程序，只要运行在受影响的PHP版本上，同样面临风险。

据W3Techs统计，在可识别服务端语言的网站中，约70.5%使用PHP，WordPress、Joomla、Drupal以及维基百科背后的MediaWiki均基于PHP构建。这意味着漏洞的影响面横跨整个互联网生态。PHP官方确认，两个漏洞均可导致无需认证的远程代码执行，CVSS v4.0评分均为9.2。

此次漏洞的危险性主要体现在三个方面：其一，漏洞利用不依赖应用代码缺陷，网站应用层“没问题”并不等于安全；其二，攻击门槛低、覆盖面广，所有处理Web请求的PHP安装（包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed）均面临风险，一个匿名POST请求就可能触发远程代码执行；其三，影响版本跨越十余年，过去十年发布的每一个PHP版本都至少受其中一个漏洞影响，最早可追溯至PHP 5.4。此外，攻击者还能读取PHP进程内存，其中可能包含其他请求或服务器自身的密码、认证令牌、API密钥和证书，造成敏感信息泄露。

图 2  AI 大模型正加速漏洞的发现与武器化（配图）

二、全球震动：窗口期急剧缩短

此次事件的罕见之处，在于全球范围内大量主动“拔网线”。在荷兰，鹿特丹港、政府门户网站Overheid.nl、荷兰足协、全国五大政党官网及多家医院网站跟随国家网络安全中心主动下线；在芬兰，国家IT服务机构Valtori以“预防措施”为由将政府公共网络服务整体下线；法国内政部临时关闭了地方政府行政网站；澳大利亚信号局（ASD）等政府网站也受到影响。这些网站大多并非被黑客攻破，而是出于预防主动下线，原因只有一个——PHP出事了，这也从侧面印证了该漏洞的威慑力与修复的紧迫性。

以往，企业从获知漏洞到完成修复尚有排查与准备时间，这一次缓冲期几乎消失。PHP2Shell原定10月22日公开，但信息在10月20日提前泄露，PHP基金会只得将补丁提前一天发布；补丁尚未上线，PoC利用代码就已开始流传，watchTowr、Hadrian、Patchstack、Cloudflare等多家机构先后观测到在野攻击尝试。据估算，暴露在互联网上的PHP主机超过510万台。尤其值得警惕的是，使用PHP的网站中近四成仍停留在PHP 7及更早版本，加上已停止维护的PHP 8.0、8.1，大量网站无法获得官方更新，成为重点风险对象。

三、AI深度参与：攻防进入“机器速度”时代

PHP2Shell引发全球关注，除了危害本身，更因为AI在漏洞的发现与利用验证中发挥了关键作用。安全公司Calif于8月1日发现第一个漏洞，并于8月11日报告给PHP；8月19日，Wiz研究团队借助Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol等前沿模型也独立发现该漏洞，OpenAI Codex安全团队同样参与其中。

Wiz在报告中指出，这些缺陷已在PHP中潜伏十余年，过去要证明其可利用性需要极其复杂的攻击链，几乎触及人类研究员的能力极限，而前沿AI模型大幅降低了这一门槛——单个研究员借助前沿模型与合适工具，在一周内便完成了过去需要世界级团队数月才能完成的工作。PHP基金会也表示，AI已帮助发现了比以往更多的PHP漏洞，自7月1日以来已有15个新CVE发布。

另一方面，大模型同样能帮助攻击者把漏洞利用代码快速适配到不同PHP版本、配置与内存布局，显著降低规模化攻击门槛。这意味着漏洞从被发现到被武器化的周期正急剧缩短，“补丁一出就被打”或将成为新常态。AI正在同时武装攻击者与防御者，网络安全正从一次性的“打补丁”工程，转向一场以“机器速度”进行的持续竞赛。

四、如何应对：升级优先，防护兜底

针对PHP2Shell，最根本、最安全的选择是升级到PHP官方已修复版本：PHP 8.5需升级至8.5.12，8.4需升级至8.4.27，8.3需升级至8.3.36，8.2需升级至8.2.35。对于8.1及以下（含7.x）等官方已停止支持的版本，建议升级至上述受支持版本；暂时无法升级的，可使用官方提供的源码回移补丁，或联系操作系统发行版、长期支持厂商获取修复。

图 3  补丁落地前的全天候防护兜底（配图）

值得强调的是，升级是根本之策，但在补丁真正落地之前，企业还需要一道能立刻顶上的防线。在补丁空窗期内，可通过安全运营服务实现对漏洞利用行为的实时监测与分钟级拦截，将各类针对网站的自动化攻击拦截在业务之外，为完成升级争取宝贵时间，不让“下一个PHP2Shell”成为突破口。

结语

PHP2Shell不会是最后一个。当AI让漏洞的发现、验证乃至武器化都以周、甚至以小时计算时，安全就不再是一次性的补丁工程，而是一场持续的速度竞赛。对企业而言，真正的底气不在于永远不出现漏洞，而在于漏洞出现时，能比攻击者更早发现、更快行动。在AI重塑攻防的时代，守护好每一个网站、每一份数据，就是守护企业的信誉与未来。

数据与来源：本文事实与数据综合自PHP2Shell官方披露（php2shell.com）、国家网络安全通报中心预警及公开媒体报道，截至2026年10月22日。