补丁发布前四天，PHP漏洞已被利用

补丁还没发，攻击已经开始了。PHP 安全团队发布 php2shell 漏洞公告的四天前，亚马逊威胁情报的蜜罐网络就已经捕获了一次针对该漏洞的利用尝试，时间是 2026 年 10 月 17 日。

这个时间差不是学术问题。菲律宾国家隐私委员会要求，个人信息控制者在知道或有合理理由相信发生数据泄露后 72 小时内必须上报。信息披露日不是起点，暴露从 17 日就开始了。

到底坏了什么

PHP 在 2026 年 10 月 21 日发布了修复版本 8.2.35、8.3.36、8.4.27 和 8.5.12，覆盖两个漏洞：CVE-2026-109618，通过内存耗尽导致的损坏实现远程代码执行；CVE-2026-109619，通过前一次请求遗留的过期全局状态实现远程代码执行。

PHP 安全团队给两个漏洞的 CVSS v4.0 评分都是 9.2，美国国家漏洞数据库按旧的 CVSS 3.1 标准给 CVE-2026-109618 打了 9.8。受影响的代码路径可以追溯到 2012 年发布的 PHP 5.4.0。

所有处理 Web 请求的 PHP 安装都受影响。PHP 团队认为风险最高的是 Apache 搭配 mod_php 的场景——在那里，已演示的利用可以在任何应用代码运行之前触发。PHP 运行在已知服务端语言的网站中的 69.3%，其中 7.7% 的 PHP 站点仍在运行已停止维护的 5.x 分支。

24 小时内两个相反结论

10 月 22 日，两家团队给出了不同判断，两边都值得听。Sansec 报告称，大规模利用的可能性低于最初预期，因为公开的概念验证利用对默认配置的 PHP 安装不起作用。同一天，Tenable 报告称 php2shell 正在野外被广泛利用。

亚马逊威胁情报建议把调查起点定在 10 月 17 日，而不是披露日，并认为补丁与可用利用之间的窗口在持续缩短，部分原因是 AI 辅助分析能把补丁差异更快地变成利用代码。CISA 建议无法立即更新、或运行不受支持的 PHP 8.1 及更早版本的组织，在完成修补前将基于 PHP 的系统下线。

内存漏洞如何变成隐私事件

CVE-2026-109618 不只是执行代码。PHP 的上传进度处理器可以把已释放的工作进程内存通过 PHPSESSID cookie 返回给客户端，而那块内存里可能装着其他请求的密码、会话令牌、API 密钥和 TLS 私钥。

菲律宾的规则在这里接上了。NPC 第 16-03 号通告第 14 节规定，发现允许访问个人数据的漏洞，应促使控制者评估是否已发生个人数据泄露。第 11 节把用户名、密码和其他登录数据列入触发通知的信息范围——前提是有理由相信这些信息被未经授权获取，且存在严重损害的切实风险。

第 22 节管得更宽。每一起安全事件和个人数据泄露都必须有书面报告存档，包括那些低于通知门槛的事件，摘要每年提交给委员会。2025 年度的报告窗口开放到 2026 年 11 月 10 日，必须通过数据泄露通知管理系统提交，不能走邮件，零事件报告同样要交。

72 小时工作清单

• 清点所有运行 PHP 的主机，包括 PHP 作为 WordPress 或 Laravel 依赖被顺带装上的主机。
• 升级到修复版本，并重启每一个工作进程。
• 无法立即打补丁的，在应用无法覆盖的位置把 session.upload_progress.enabled 设为 0、memory_limit 设为 -1，然后重启每一个工作进程。
• 在 Web 服务器日志里搜两类痕迹：multipart 表单体中携带 PHP_SESSION_UPLOAD_PROGRESS 字符串的 POST 请求，以及 PHP 工作进程拉起 shell 的行为。
• 在补丁完成前就部署社区版 Suricata、Sigma 和 ModSecurity 检测规则，让告警和修复一起到位。

两个常见疑问

站点不是用 PHP 写的，要不要担心？要，只要 PHP 存在就得担心。漏洞在 PHP 引擎里，Magento 或 WooCommerce 商店即使自身代码干净也可能中招。WordPress 单独就占所有网站的 39.6%，而它跑在 PHP 上。

跑的是已停止维护的 PHP 版本怎么办？PHP 不再为 8.1 及更早版本发布官方版本，但安全团队为 7.4、8.0 和 8.1 发布了最小化的源码回移补丁，部分厂商也把修复回移进了打包构建。PHP 8.2 本身将在 2026 年 12 月 31 日停止维护。

没发现入侵证据，还有报告义务吗？有。第 22 节要求每一起安全事件都有书面记录，包括低于通知门槛的事件。2025 年度安全事件报告仍须在 2026 年 11 月 10 日前通过 DBNMS 提交。

披露日不是开始。暴露始于 2026 年 10 月 17 日，等 PHP 发出修复时，可用的利用已经在流传。对菲律宾组织来说，打补丁和做报告是同一件事：清点、修补、从 17 日开始排查、把所有事情记录下来，包括那些从未跨过通知门槛的事件。