PHP 紧急修复两个 9.2 分 RCE 漏洞
先了解这件事
PHP 已发布紧急安全更新，修复语言运行时中两个可让攻击者无需账号即在 Web 服务器上执行代码的远程代码执行漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell，CVSS 4.0 评分均为 9.2。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，PHP 团队称只有升级才能完全保护服务器。 漏洞位于 PHP 运行时而非任何应用，因此站点即使自身代码无问题也受影响。Krebs on Security 报道称其影响所有运行 PHP 5.4 及以上版本的 Web 服务器；Palo Alto Networks Unit 42 称已见到概念验证，并依据其遥测数据识别出超过 2260 万个可能受影响的暴露实例，还称至少有一个欧洲政府已将网站下线作为预防。 在补丁发布前，有安全公司提出一项变通设置，但该公司随后表示，该设置单独使用不足以完全阻断这两个漏洞；PHP 官方未提供临时缓解方案。Unit 42 建议按 PHP Group 安全公告立即修补。CNCERT 随后发布安全公告 CNTA-2026-0006，将两个漏洞登记为 CNVD-2026-41674、CNVD-2026-41675，称漏洞技术细节与 PoC 已广泛传播，建议 PHP 用户自查并升级至最新版本。
AI 根据报道生成 · 1 小时前更新
事件进展
4 个进展
- 10月21日 22:00 · 2 篇报道PHP发布紧急补丁修复两个PHP2Shell RCE漏洞Krebs on Security：PHP 两个高危漏洞影响近七成网站，官方发布紧急更新
- 10月21日 21:40 · 2 篇报道Unit 42通报PHP两个9.2分RCE漏洞Palo Alto Networks Unit 42：Unit 42 通报 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
- 10月21日 18:36 · 1 篇报道PHP2Shell两高危漏洞补丁发布前防护建议The Hacker News：PHP2Shell 两个 PHP 严重漏洞补丁发布前，单一缓解设置不足以防护
- 10月21日 12:57 · 1 篇报道PHP将发布两个未修补严重漏洞的修复The Hacker News：PHP 两个未修补严重 RCE 漏洞 CVSS 9.2，触发紧急安全警报
报道时间线
沿着报道，了解事件的不同侧面。
- CNCERT 监管通报CNCERT就PHP2Shell高危漏洞发布修复风险提示
CNCERT发布安全公告CNTA-2026-0006，提示PHP官方于2026年10月21日修复并披露两个高危远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。
- Simon Willison精选PHP 8.x 安全更新修复两个 RCE 漏洞，披露流程泄露致 PoC 提前扩散
PHP 8.x 全线发布安全更新，修复两个远程代码执行漏洞，PHP Foundation 说明协调披露流程出现泄露。
- Krebs on Security精选PHP 两个高危漏洞影响近七成网站，官方发布紧急更新
PHP 发布紧急安全更新，修复两个可让攻击者在服务器上执行任意代码的高危漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，影响所有运行 PHP 5.4 及以上版本的 Web 服务器，已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中修复。
- The Hacker News精选PHP 紧急修复两个 PHP2Shell 严重 RCE 漏洞，已出现利用尝试
PHP 发布紧急更新，修复语言本身两个严重漏洞，攻击者无需账号即可在 Web 服务器上执行代码。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，PHP 团队称只有升级才能完全保护服务器。这两个漏洞合称 PHP2Shell，位于 PHP 运行时而非任何应用，因此站点即使自身代码无问题也受影响。
- Palo Alto Networks Unit 42精选Unit 42 通报 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
Unit 42 通报 PHP 存在两个远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS 4.0 评分均为 9.2，建议按 PHP Group 安全公告立即修补。
- The Hacker NewsPHP2Shell 两个 PHP 严重漏洞补丁发布前，单一缓解设置不足以防护
PHP 将于 10 月 21 日 14:00 UTC 发布针对两个被称作 PHP2Shell 的严重漏洞的修复，官方评分为 9.2（满分 10），且未提供官方临时缓解方案。提出相关变通设置的安全公司表示，该设置单独使用并不足以在补丁发布前完全阻断这两个漏洞。
- The Hacker NewsPHP 两个未修补严重 RCE 漏洞 CVSS 9.2，触发紧急安全警报
PHP 安全团队将两个严重漏洞评为 CVSS v4.0 9.2，但尚未披露细节，并计划在 10 月 21 日 14:00 UTC 发布计划外安全更新。报道称这两个漏洞属于未修补的严重 RCE 问题，受影响版本与修复版本将在官方公告发布后确认。
本事件热度走势
- 可比范围当前
- 28
- 可比范围峰值
- 3310月22日 08:00
- 近 24 小时变化
- –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。