10 月 24 日，网络安全公司知道创宇旗下网络空间测绘平台 ZoomEye 发布《PHP2Shell 预警报告（2026）》，基于全球网络空间测绘数据，对 PHP 远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）的资产分布、版本构成及潜在受影响范围进行了系统梳理。报告显示，全球互联网测绘到的 PHP 相关资产总数为 111,084,195 个，其中 111,060,855 个资产可被已知漏洞特征命中，占比高达 99.98%。

公开资料显示，本次通报的两个漏洞均位于 PHP 解释器内核，危险评分达 9.2 分（满分 10 分），属于最高等级的高危漏洞。攻击者在特定条件下无需身份验证，即可通过构造恶意请求在目标服务器上远程执行任意代码。PHP 作为全球使用最广泛的服务器端编程语言之一，长期支撑着大量网站、内容管理系统与关键信息基础设施。由于漏洞影响面广、利用门槛低，该事件已被业内与 2021 年的 Log4Shell 漏洞事件相提并论。

回顾事件经过：10 月 20 日，两个漏洞的信息因保密环节失误被提前披露至网络，攻击演示视频随之扩散；10 月 21 日，多家国际安全机构相继确认并复现漏洞，欧盟计算机应急响应协调中心（CERT-EU）一度建议无法立即打补丁的单位将公网 PHP 服务临时下线，多国政府网站及大型互联网服务关停避险。同日，PHP 官方提前发布安全更新，修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。据安全机构蜜罐网络监测，补丁镜像流出约 55 分钟后，全网即捕获到第一波真实在野攻击流量。

ZoomEye 测绘数据显示，从国家和地区分布看，受影响 PHP 资产数量最多的为美国，达 14,890,045 个，占全球受影响资产的 26.2%；中国以 9,183,155 个位居第二，占比 16.2%；日本、德国、法国分列三至五位。从行业分布看，全球关键信息基础设施中，媒体行业受影响资产最多，达 351,373 个；政府行业以 186,912 个居次；教育、电信、金融等行业亦存在不同程度暴露。

图 1 全球受影响 PHP 资产 TOP5 国家（数据来源：ZoomEye）

版本构成方面，受影响资产中 PHP 5.x 占比 48.77%，PHP 4.x 占比 37.75%，两者合计超过 86%；PHP 7.x 占 10.48%，而目前官方仍在维护的 PHP 8.x 仅占 3.01%。这意味着绝大多数暴露资产运行的是早已停止安全维护的老旧版本，难以通过官方渠道获得补丁修复。应用层面，受影响资产中 WordPress 多达 8,211,996 个，ThinkPHP、Laravel、Drupal、Joomla 等主流框架与建站系统亦大量在列。

图 2 受影响资产 PHP 大版本分布（数据来源：ZoomEye）

针对上述风险，ZoomEye 在报告中给出了自查与处置路径：运维单位可借助资产测绘与版本比对，排查本单位对外暴露的 PHP 服务；仍在官方维护分支的系统，应尽快升级至修复版本并重启 PHP 进程；已停止维护的老旧版本，建议下线、隔离或迁移；同时可采取限制文件上传功能、加强 WAF 对 multipart 请求检测等临时缓解措施。

业内人士指出，本次事件再次暴露出开源软件供应链安全与老旧系统治理的长期隐患。广大网站和系统运营者应尽快开展资产盘点与漏洞自查，及时修复风险，避免被攻击者利用为跳板。