一场波及全球互联网基础设施的重大网络安全（885459）事件引发国际社会高度关注。10 月 21 日，全球广泛使用的服务器端编程语言 PHP 被曝存在两项严重安全漏洞（CVE-2026-109618、CVE-2026-109619），统称为 "PHP2Shell"，漏洞危险评分均高达 8.1 分。攻击者在特定条件下无需身份认证，即可利用漏洞实现远程代码执行，甚至获取服务器控制权限。

由于 PHP 广泛应用于政府网站、企业业务系统及各类互联网平台，此次漏洞影响范围广泛，潜在安全风险突出。漏洞披露后，多国政府及网络安全（885459）机构迅速采取应急措施。美国联邦调查局（FBI）、美国国家安全局（NSA）、欧盟计算机应急响应团队（CERT-EU）等机构相继发出安全警告。日本首相高市早苗公开呼吁相关机构尽快部署安全补丁，必要时暂停网站服务。据媒体报道，荷兰、芬兰等国家的部分政府网站已采取预防性下线措施，日本部分政府部门及企业也紧急开展系统维护，凸显此次事件的严重性与紧迫性。

值得关注的是，此次漏洞涉及 PHP 底层内存处理机制，影响多个主流版本及常见 Web 运行环境，大量已停止官方维护的历史版本进一步增加了修复难度。同时，AI 技术在此次漏洞发现与修复协调过程中发挥了重要作用，也反映出 AI 正在加速改变网络安全（885459）攻防态势。

目前，奇安信（688561）CERT 已发现在野利用。鉴于此次漏洞涉及范围广、潜在危害严重，建议政企单位高度重视，可参考以下处置建议，立即开展相关资产排查、漏洞核查及修复加固工作，切实防范漏洞遭恶意利用引发网络安全（885459）事件。

以下为奇安信（688561）CERT 针对 "PHP2Shell" 漏洞的最新风险通告。

漏洞概述
漏洞名称	PHP 远程代码执行漏洞
漏洞编号	CVE-2026-109618、CVE-2026-109619
公开时间	2026-10-21	影响量级	千万级
奇安信（688561）评级	高危	CVSS 3.1 分数	8.1
威胁类型	代码执行	利用可能性	高
POC 状态	已公开	在野利用状态	已发现
EXP 状态		技术细节状态
危害描述：可导致无需认证的堆 UAF、内存泄露和远程代码执行，攻击者以 Web worker 权限执行任意命令，写入 WebShell、窃取凭据和业务数据、横向移动并植入持久化后门。

01

漏洞详情

影响组件

PHP 是一种广泛使用的开源服务器端脚本语言，主要运行于 Web 服务器端，支持 Apache mod_php、PHP-FPM（配合 Nginx、Apache mod_proxy_fcgi）、FrankenPHP、LiteSpeed LSAPI 等多种部署方式。W3Techs 统计显示，全球约四分之三的网站使用 PHP 作为服务器端编程语言，WordPress、Drupal、Joomla、MediaWiki、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS 等主流应用均依赖 PHP。

漏洞描述

近日，奇安信（688561）CERT 监测到官方修复 PHP 远程代码执行漏洞 ( CVE-2026-109618、CVE-2026-109619 ) ，两个漏洞均与 PHP 请求生命周期（883436）边界上的状态管理缺陷有关：CVE-2026-109618 利用内存耗尽（OOM）时的 longjmp ( ) 提前退出，使尚未完成初始化的请求内存在 request shutdown 阶段被错误消费（883434）；CVE-2026-109619 利用 worker 全局状态在请求结束后未正确重置，使后续请求在正常初始化之前访问已释放的请求内存。攻击者无需认证，通过构造恶意 HTTP 请求即可触发释放后重用（UAF），进而实现内存泄露和远程代码执行。目前该漏洞 PoC 和技术细节已公开。鉴于该漏洞已发现在野利用，建议客户尽快做好自查及防护。

本次更新内容：

更新漏洞状态；

新增产线解决方案。

利用条件

无需登录、无需用户交互、无需应用层漏洞；攻击面为可接收 HTTP 请求的 PHP 端点，包括静态站点中的简单 PHP 页面。

02

影响范围

影响版本

PHP < 8.2.35

PHP < 8.3.36

PHP < 8.4.27

PHP < 8.5.12

仍在维护的分支：

PHP 8.5、8.4、8.3 仍处于现行维护期，应优先升级到对应修复版本或更高版本。8.2.35 是当前可用的修复版本，也是 8.2 分支最后的升级时间窗口之一；建议尽快规划升级到 8.3 或更高版本。

已停止维护的分支：

PHP 8.1、8.0、7.4 及更早版本已停止官方支持，PHP 官方不再发布修复版本。

PHP ≤ 7.3 / 5.x 同样已停止维护，官方不提供修复版本，应优先升级。

其他受影响组件

以 PHP 为运行时的应用、框架与建站系统可能间接受影响，涉及 WordPress、MediaWiki、phpBB、Magento、Laravel、Symfony、Drupal 等，以及 mod_php、PHP-FPM（含 Docker PHP-FPM 镜像）等部署形态。

03

复现情况

目前，奇安信（688561）CERT 已成功复现 PHP 远程代码执行漏洞 ( CVE-2026-109618、CVE-2026-109619 ) ，截图如下：

04

处置建议

安全更新

官方已发布安全补丁，请及时更新至最新版本：

PHP 8.5.12

PHP 8.4.27

PHP 8.3.36

PHP 8.2.35

1. 升级后必须重启 Apache、PHP-FPM 及所有常驻 worker，确保旧进程不再处理请求；仅替换二进制而不重启进程不能消除风险。

2. 容器环境应重新构建镜像，避免沿用包含旧 PHP 的 layer；Kubernetes 环境应滚动重启所有 Pod，并确认没有旧 ReplicaSet 继续服务。

3. 发行版仓库（Ubuntu、Debian、RHEL、Alpine 等）和集成环境（宝塔、phpStudy、XAMPP、Docker 官方镜像等）可能存在同步延迟，请以 `php -v`、`php-fpm -v` 的实际输出为准，不要仅核对包管理器版本号。

4. PHP 8.1 及更早版本已停止支持，官方不再提供补丁，建议迁移至 PHP 8.2 或更高版本；若使用发行版长期支持分支，请以厂商 backport 公告为准。

5. 共享主机和虚拟主机用户应联系服务商确认 PHP 版本；多租户环境需确认所有租户实例均已升级。

注意：

不要使用 RLIMIT_AS 或 RLIMIT_DATA 作为缓解措施。这些限制会导致 mmap ( ) 失败，从而触发 CVE-2026-109618 所依赖的 longjmp ( ) 路径。

产品解决方案

奇安信网神云锁服务器安全管理系统（椒图）检测方案

奇安信（688561）网神云锁服务器安全管理系统（椒图）默认已有 RCE 规则支持检测，无需更新，防护规则后续发布。

奇安信天眼检测方案

奇安信（688561）天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击。规则 ID 及规则名称：

0x10022A87，PHP 远程代码执行漏洞 ( CVE-2026-109618/CVE-2026-109619 ) 。15155 版本覆盖，规则预计 10-22 号发布。奇安信（688561）天眼流量探针规则升级方法：系统配置 -> 设备升级 -> 规则升级，选择 " 网络升级 " 或 " 本地升级 "。