2026 年 10 月 21 日，PHP 官方发布紧急安全更新，修复两个被统称为「php2shell」的严重远程代码执行（RCE）漏洞——CVE-2026-109618 与 CVE-2026-109619。两漏洞均为无需认证、网络可达的远程利用，CVSS v4.0 评分高达 9.2，攻击者在应用代码运行前即可向脆弱服务器写入并执行任意代码，进而控制服务器、窃取数据或进行横向移动。聚信安全研究团队已于 2026-10-22 发布规则版本 v1.1.1032，聚信 WAF、WDSP、NCPS 等全线安全产品已同步支持对该漏洞的防御，并默认集成上述防护规则。
一、漏洞概述
「php2shell」是安全研究员圈内对这两个 PHP 核心 RCE 漏洞的代称，意指"向网站发送一个请求，即可在脆弱服务器上获得 shell"。两个漏洞均位于 PHP 语言自身的核心执行引擎，处于 WordPress、Drupal、Joomla 等所有上层应用之下，因此应用层的安全加固无法绕过该缺陷。漏洞影响 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等所有提供 Web 请求的 PHP 运行形态。
核心风险参数（据 PHP 官方公告及 Huntress、PenTestIT 等公开技术分析）：
- 漏洞类型：PHP 核心远程代码执行（RCE）
- CVSS v4.0：9.2（严重 / Critical）
- 利用条件：无需认证、无需用户交互，攻击者发送特制 HTTP 请求即可触发
- 执行权限：以 Web worker（如 www-data）权限执行代码
- 披露时间：2026-10-21 14:00 UTC 起 PHP 官方发布带外（out-of-cycle）修复
二、漏洞原理与攻击路径
根据公开技术分析，两个漏洞的技术根因与最初泄露帖的描述存在出入，应以 PHP 官方公告为准：
CVE-2026-109618——内存不足（OOM）错误处理缺陷。当 PHP 在初始化请求数据时耗尽内存，初始化流程被中断，部分数据仅处于"半初始化"状态；在请求清理阶段，这些半初始化数据被当作有效数据处理，从而形成代码执行路径。可通过 multipart 请求解析将 PHP 推入 OOM 状态触发，已在 mod_php 上验证 RCE 成功，FPM、FrankenPHP 等同样易感。
CVE-2026-109619——陈旧全局状态（use-after-free）。该漏洞需要同一持久化 worker 上的两个请求配合：第一个请求通过致命错误 / OOM / 超时遗留陈旧状态，第二个请求在重置前即读取并使用该状态，造成释放后使用、内存泄露，并以 Web worker 权限执行远程代码。目前已确认的可达路径包括默认开启的 session upload progress（任何接收 multipart 上传的端点均可触发，即使未启用 session），以及 PHP 8.5 上的 fatal_error_backtraces。公开 PoC 均在请求体中发送 PHP_SESSION_UPLOAD_PROGRESS 表单字段。
三、受影响版本与官方修复
PHP 官方于 2026-10-21 发布以下正式修复版本，升级是彻底修复的唯一方式：
| 修复分支 | 修复版本 | 状态 |
|---|---|---|
| PHP 8.5 | 8.5.12 | 官方正式修复 |
| PHP 8.4 | 8.4.27 | 官方正式修复 |
| PHP 8.3 | 8.3.36 | 官方正式修复 |
| PHP 8.2 | 8.2.35 | 官方正式修复 |
| PHP 7.4 / 8.0 / 8.1 | 源码 backport | 仅提供源码向后移植，供自行编译 |
| PHP 5.x 等已终止支持版本 | — | 无官方补丁，需发行版 backport 或临时缓解 |
截至 2026-10-22，Ubuntu、Debian、SUSE、Amazon Linux 等发行版已陆续发布对应修复包；Red Hat 暂未发布 RHSA。在无法立即升级的过渡期，可参考 PHP 官方给出的部分缓解手段（如将 session.upload_progress.enabled 设为 Off 并重启 worker、调低 post_max_size 等）降低暴露面，但需注意这些手段仅降低风险，并非完整修复。
四、聚信安全产品防护能力（重点）
针对上述漏洞，聚信安全研究团队已于 2026 年 10 月 22 日发布防护规则更新 v1.1.1032。以下聚信安全产品已同步支持对该漏洞的防御，并默认集成上述防护规则：
聚信等保合规云管平台
通过统一策略下发，对辖区内 Web 资产实施该漏洞的攻击拦截与合规管控，集中可视、一键防护。
聚信 Web 应用防护系统
基于入侵防御规则，实时检测并阻断利用该漏洞的攻击流量，对 multipart / 上传类恶意请求精准识别。
聚信 Web 动态安全管理平台
在应用运行时层面进行深度检测与防护，有效抵御 PHP 反序列化与异常文件上传类攻击，补足边界防护盲区。
本次新增 / 增强的防护规则已默认集成并启用：
- PHP2Shell：针对 php2shell 系列攻击的特征检测与拦截
- PHP2Shell-超长 filename：拦截利用超长文件名触发的畸形上传请求
- PHP2Shell-PHP 反序列化文件上传检测：识别反序列化结合异常文件上传的复合攻击
客户无需手动配置，升级至规则版本 v1.1.1032 及以上即自动获得上述防御能力。
五、漏洞检测能力
聚信漏洞扫描系统已内置对应漏洞检测插件，可对资产进行定期或临时扫描，准确识别受 CVE-2026-109618、CVE-2026-109619 影响的资产，并给出修复建议，帮助客户在攻击发生前完成暴露面收敛。
六、客户处置建议
为最大限度降低风险，建议聚信客户按以下顺序处置：
及时将聚信相关产品升级至规则版本 v1.1.1032（2026-10-22 发布）及以上。
确认 PHP2Shell 系列防护规则已启用并处于拦截模式（默认已开启）。
使用聚信漏洞扫描系统对全域资产开展一次专项扫描，确认无遗漏暴露面。
如源站 PHP 暂无法升级，建议在网络边界临时限制非常规文件上传路径，并加强日志审计，同时尽快安排 PHP 版本升级。
七、防护规则包获取
针对源站 PHP 的修复与聚信防护规则包已发布，客户可通过以下方式获取（请妥善管理下载链接与提取密码，避免向无关人员扩散）：
php2shell 的出现再次证明：语言层漏洞的暴露速度往往快于补丁窗口。
聚信安全以"规则当天同步、产品默认集成"的响应节奏，为客户在漏洞公开的第一时间筑起防线。
如在使用聚信产品防护该漏洞过程中遇到问题，请联系：北京聚信得仁科技有限公司（服务热线：400-850-0513）。