北京
美国网络安全和基础设施安全局（CISA）把两个严重的PHP漏洞列入了「已知被利用漏洞」目录。这两个漏洞被合称为 PHP2Shell，编号分别是 CVE-2026-109618 和 CVE-2026-109619。进入这个目录意味着，已经有证据显示攻击者正在真实环境中利用它们。
漏洞的危险之处在于门槛极低：未认证的攻击者就能在存在缺陷的PHP Web服务器上远程执行代码。CISA 在 10月26日 将两个漏洞加入目录，并要求各机构把它们当作紧急修补事项处理。攻击者不需要任何有效登录凭证，就能直接针对面向公网的系统下手。
按照约束性操作指令 26-04，联邦文职行政部门机构必须在 10月29日 前完成缓解，或者把受影响产品下线停用。
两个漏洞的成因并不相同。CVE-2026-109618 是PHP内存损坏问题，发生在PHP遇到内存耗尽条件、并把部分内部请求数据留在不安全状态时。CVE-2026-109619 则是内部请求状态残留问题，PHP可能保留对已释放内存的引用。在特定条件下，攻击者可以利用其中任一弱点，在暴露的服务器上获得远程代码执行能力。
受影响的是用于承载Web应用的PHP部署，包括通过常见Web服务器配置运行PHP的系统。安全研究人员提醒，在PHP工作进程反复处理请求的环境里，这两个问题可能尤其严重——攻击者可以先触发易受攻击的状态，再发送后续请求来完成代码执行。一旦利用成功，威胁行为者就能以PHP Web工作进程被分配的权限运行命令。
PHP 已在 8.2.35、8.3.36、8.4.27 和 8.5.12 版本中发布修复。运行较旧受支持分支的机构应立即升级到对应的修复版本。仍在使用 PHP 5.x、7.x 以及 8.0 和 8.1 的团队，需要查阅其托管平台或操作系统厂商的指引，因为PHP项目已不再维护这些分支。
CISA 的警告之所以重要，是因为进入 KEV 目录本身就代表已有攻击者正在利用的证据。安全团队不应把 PHP2Shell 当成一次例行软件更新来处理。处置顺序上，应先识别面向互联网的PHP服务器，然后打补丁并重启，让更新后的运行时真正加载。
管理员还应检查应用日志、Web服务器日志、PHP-FPM日志、进程活动以及出站网络连接，寻找可能在更新应用之前就已出现的异常行为。Web应用防火墙或许能拦截部分恶意请求，但它替代不了更新PHP本身。
还有一层容易被忽略：组织需要排查第三方产品、托管面板、容器镜像和云工作负载——这些组件可能自带独立的PHP运行时。即便基础操作系统已经打过补丁，厂商提供的软件仍可能需要单独更新。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
