PHP2Shell真能让互联网瘫痪吗？先看清这两个漏洞

如果你这周刷到过"互联网要完蛋了"的说法，多半和 PHP2Shell 有关。这个刚冒出来的安全问题影响了一大批网站，网站主被反复提醒要紧急打补丁。听起来确实吓人，那它到底是个什么东西，普通上网的人又该担心到什么程度？

先把名字拆开看。PHP2Shell 指的是 PHP 这门编程语言里的一个安全缺陷，而 PHP 被全球大量网站和 Web 应用使用。按维基百科的估算，将近 70% 的网站用到 PHP，WordPress、Drupal、Joomla 这些常见的建站系统都建立在它之上——影响面之所以这么广，原因就在这里。

严格说，它是两个独立的内存相关漏洞，编号分别是 CVE-2026-109618 和 CVE-2026-109619。恶意攻击者可以利用 PHP 运行方式上的这些缺陷入侵使用 PHP 的站点，并有可能进一步实现远程代码执行。这两个漏洞的严重程度评分为 10 分制里的 9.2 分。

卡巴斯基 GReAT 亚太与 META 地区研究中心负责人谢尔盖·洛日金（Sergey Lozhkin）向 TechRadar 解释了后果："潜在影响相当大：一旦被成功利用，这个漏洞可能实现远程代码执行，这是网络入侵中最严重的形式之一。落到实际操作层面，攻击者有可能在受影响系统上执行恶意代码，包括部署 Web Shell，从而控制存在漏洞的服务器。"

换成直白的话：攻击者能跑自己的代码，篡改网站内容以达到不良目的（比如窃取数据），或者把你重定向到他自己的恶意站点做钓鱼，甚至直接给你装上恶意软件。

它已经被利用了吗？

PHP2Shell 比预想的更难缠，因为这些漏洞在官方正式公布之前就被披露了。有人抢在禁令解除前把细节泄露到了 Hacker News 论坛上，安全专家不得不比原计划更快地部署防御。

这意味着早期就出现了利用尝试，其中一次甚至早于漏洞被泄露的时间，更不用说正式公布了。据亚马逊威胁情报（Amazon Threat Intelligence）的说法，最早的一次利用尝试发生在 10 月 17 日，但"目前仍不清楚该行为体在披露之前是如何获得利用信息的"。Malwarebytes 也指出，Cloudflare 首席技术官戴恩·克内希特（Dane Knecht）报告过"早期攻击已经出现"，那时 PHP 团队还没推出修复补丁。亚马逊威胁情报警告称："PHP2Shell 目前正在野广泛利用。"

攻击链条大致是这样几步：

• 起点是一台运行着存在漏洞版本 PHP 的服务器；
• 未认证的攻击者（不需要有效登录凭证或事先访问权限）向 PHP Web 服务器直接发送特制的未授权载荷请求；
• PHP 核心运行时的一个严重缺陷让这个载荷劫持正在进行的后端进程，代码处理过程中发生执行错误或突破；
• 运行时被劫持后，攻击者可能成功执行远程命令，进而接触到用户的操作系统，危及整台设备。

现在修好了吗？

补丁确实已经发布。PHP 团队为 PHP 8.5、8.4、8.3 和 8.2 发布了紧急安全更新，对应的修复版本是 8.5.12、8.4.27、8.3.36 和 8.2.35。

补丁就绪只是第一步，受影响网站的所有者还得把它装上——要么自己安装更新，要么联系托管服务商确认已经完成。按事情的紧急程度，这项工作到现在应该已经做完了，理论上你访问任何网站都是安全的。但这里有个前提：没有铁一般的保证，这一点得记在心里。

作为浏览网页的普通用户，你自己不需要做任何操作。这些不是浏览器的补丁，是网站主必须处理的事。不过如果你自己运营着一个用 WordPress 之类的站点，那就必须向托管服务商确认 PHP 已经更新到上面列出的修复版本。

这几天上网要注意什么？

你可能会碰到一些网站因为正在打补丁而进入维护状态。这有点烦，但只是短期的，而且是好事——补丁本来就该装。到这个节点，受影响的大型网站大概率已经完成了这项工作。

除此之外，这周剩下的时间里上网多留个心眼。突然被重定向到另一个网站，或者出现下载莫名其妙自己启动这类明显可疑的情况，要格外警惕。遇到这种情形，关掉网站和浏览器，别再回去，然后打开杀毒软件跑一次扫描。

如果做得到，尽量避开网络上维护状况可能较差的那部分角落。一个隐藏风险是仍在运行官方已不再支持版本（即 8.1 或更早）的 PHP 站点：由于缺乏支持，除非把 PHP 版本升级到受支持的版本，否则这些站点收不到相关的安全更新。对于运行 PHP 8.1 或更早版本、又没法安排升级的站点，一些建议是暂时下线，或者至少按英国国家网络安全中心（NCSC）一篇帖子的说法，用缓解措施作为过渡。

这事该怪 AI 吗？

不怪。但如果听到有人把 AI 和 PHP2Shell 扯在一起，那是因为如今 AI 总体上让潜在的恶意行为者在得知这类新漏洞时日子更好过了。亚马逊威胁情报的解释是："过去我们观察到的大部分利用行为，都发生在公开的概念验证发布之后。少数有能力的行动者构建利用工具，其他人等着用。这种依赖正在减弱。AI 辅助分析让把补丁差异或安全公告变成可用利用工具的成本更低。结果是，漏洞技术细节一旦披露，更多行动者能在数小时甚至数分钟内动手。"

另一面是，AI 也被用来防御这些坏人。但担忧依然存在：从更长时间看，在加速新漏洞被利用这件事上，它带来的坏处可能多于好处。