两项严重的 PHP 漏洞可使攻击者在未经身份验证的情况下执行代码，而亚马逊称，它在漏洞公开披露前四天检测到了一次疑似利用尝试。
漏洞如何危及服务器
这两个漏洞的编号为 CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell，影响 PHP 核心运行时。其中一个漏洞涉及 PHP 设置内部数据时请求耗尽内存，随后清理过程可能会错误处理这些数据。另一个漏洞可能导致过时的内部状态仍指向已释放的内存，之后由同一工作进程处理的请求可能会使用这块内存。
PHP 指出，Apache 的 mod_php 是风险最高的配置，因为未经身份验证的请求可以在应用程序代码运行之前触发漏洞利用。研究人员还演示了如何通过 PHP-FPM 应用程序路径执行代码。PHP 表示，所有处理 Web 请求的安装部署都面临风险，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。
需要更新哪些内容
仅更换网站应用程序或内容管理系统并不足够：漏洞存在于 PHP 本身，位于 WordPress 或 Drupal 等软件的底层。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 已不再支持 8.1 及更早版本，因此使用这些版本的组织需要向操作系统或长期支持服务提供商确认是否有回移补丁，或迁移到受支持的版本。
Cloudflare 估计，近 70% 的网站运行 PHP。这是对 PHP 使用普及程度的估计，并不代表存在漏洞或已遭入侵的系统数量。成功攻击可能让入侵者获得 Web 服务器的权限，从而窃取数据、扰乱服务，或利用服务器进一步访问网络中的其他位置。
修复为何耗时
PHP 基金会表示，2024 年的一次外部安全审计发现了内存耗尽问题的迹象，但当时尚未找到具体的攻击路径。修复核心内存处理机制也可能带来风险：维护者表示，可能的解决方案会破坏兼容性、降低性能，或要求 PHP 庞大的扩展生态进行改动。OpenAI 称，Calif 借助其 GPT-5.6 Sol 模型协助发现了一项严重漏洞，而 Wiz 则独立发现并报告了两个漏洞。PHP 维护者主导了修复工作。
发布计划承受压力
CVE 编号于 10 月 20 日在网上出现，当时补丁尚未发布。PHP 将原定发布日期提前至 10 月 21 日，并表示，如果细节泄露或出现活跃利用迹象，就可能提前发布。PHP 基金会后来表示，Chainguard 在协调发布前六个多小时发布了已修补的容器镜像，这可能给了攻击者研究补丁的时间。Chainguard 首席执行官则为这一决定辩护，称此举是为了应对有关漏洞正遭活跃利用的报告。
攻击报告透露了什么
亚马逊表示，其 MadPot 蜜罐网络于 10 月 17 日记录到一次疑似 PHP2Shell 利用尝试，比公开披露早四天。亚马逊不知道攻击者如何获得漏洞利用信息。该公司还报告称，10 月 21 日发布前后均出现了更多尝试，但表示尚未确定最早的尝试能否攻击现实环境中的系统。美国网络安全和基础设施安全局（CISA）在 10 月 21 日的警报中表示，截至发布时尚未观察到漏洞利用行为。攻击尝试并不能证明入侵已成功，而且这些报告记录的是不同时间的观察结果。
PHP 可能隐藏在容器、设备、托管平台或其他产品中，因此难以发现。CISA 敦促各组织盘点系统、优先处理面向互联网的服务器，并在无法及时更新时暂时下线基于 PHP 的服务。Web 应用防火墙可以提供临时保护，但 Cloudflare 表示，它不能替代更新 PHP，并报告称攻击者已更改攻击载荷来测试防御措施。
防御人员接下来该怎么做
亚马逊表示，漏洞利用现已广泛出现，并敦促各组织将面向互联网系统的严重漏洞修复视为紧急事项，而不是依赖长达一周的补丁排期。防御人员应找出所有 PHP 运行时，确认修复的是运行时本身，而不只是应用程序，并检查日志中是否有可疑活动。由于亚马逊最早观察到的尝试早于公开警告，组织不应认为风险是从披露当天才开始的。