2026-10-22 11:44:01 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

核弹漏洞 | PHP 核心 RCE 泄露波及全网

红队安全圈
红队安全圈

红队安全圈

2026年10月21日 13:40
重庆

去阅读

补丁未发、细节先泄：PHP 核心两个 9.2 级 RCE，波及 5.4 起全版本，今晚 22:00 补丁发布，修复必须做在基础设施层。

01 这不是一次常规披露

PHP 核心两个远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，原本处于 embargo 状态，定于协调披露日随安全更新一起公布。结果 10 月 20 日晚，细节提前泄露上了 Hacker News，一款名为 php2shell 的利用工具截图同步流出，横幅声称对 5.4.0 起的每一个 PHP 版本都有效。PHP 安全团队被迫提前官宣：紧急安全更新定于 10 月 21 日 22:00（北京时间）发布。

也就是说，从泄露到补丁落地，全世界有一整天的攻击窗口。安全团队已确认漏洞真实存在并成功复现了其中一个，而官方明确预警：如果细节扩散或攻击开始，补丁可能提前发布——言下之意，默认攻击随时会开始。每一位运维 PHP 站点的人，今晚都不能睡安稳觉。

02 漏洞速览

漏洞编号CVE-2026-109618 / 109619

影响产品PHP 核心（所有 Web 场景）

漏洞类型远程代码执行（RCE）

危害等级CVSS v4.0 9.2 Critical

影响版本PHP 5.4.0 起全版本（泄露工具口径，以官方补丁说明为准）

在野利用暂无公开报告（截至发稿）

PoC 状态利用工具截图已泄露，细节未公开

官方补丁10 月 21 日 22:00（北京时间）

03 现在知道什么，还不知道什么

技术成因还没公开。官方通告只确认了两点：RCE 无疑、评级 9.2，完整技术细节会随补丁一起发布。泄露流出的只有 php2shell 工具截图，作者署名 Calif.IO，横幅写着支持 PHP 5.4.0 及以上全部版本。

这不代表威胁可以打折。恰恰相反：截图能流出，说明利用链已经工程化；能提前泄露，说明拿到信息的圈子不止一个。从 5.4 到 8.x 跨越十二年的版本线全部命中，这在 PHP 历史上是空前的量级。

04 影响范围

所有跑 PHP 的 Web 服务器都在射程内：Magento、Shopware、WooCommerce 等电商站只是最典型的靶子，包括国内大量自建站、内部系统、API 后端。更麻烦的是修复方式——漏洞在 PHP 自身，补丁只能通过升级服务器上的 PHP 来打，改应用代码、加应用层规则都没用。

还有一批最危险的存量：PHP 官方只维护 8.2 及以上版本，8.1 及更老的版本根本不会有官方补丁。这些服务器要么升上去，要么下线，没有第三条路。

05 利用分析

在官方细节公布前，只能做危害推演。RCE 打在 PHP 核心层，意味着攻击发生在应用代码运行之前，WAF 规则和业务层防护拦不住它——这是这次事件最要命的一点。一旦完整利用代码随补丁发布流出，脚本小子和勒索团伙会在数小时内完成武器化，业界预期补丁发布后 15 分钟内就会开始大规模扫描攻击。

对红队来说，这类漏洞的实战价值无需多言：命令执行直接落在 Web 进程上下文，拿到的是 php-fpm 或 httpd 权限，内网横向的起点就此建立。今晚补丁发布后，第一时间确认利用细节是否公开，再决定后续动作。

06 检测与排查

在补丁落地前，监控重点是 PHP 工作进程有没有异常拉起子进程。正常业务里 php-fpm、php-cgi 不会去启动 shell、解释器或下载工具，出现即是强信号。

auditctl -a always,exit \

-F arch=b64 -S execve \

-k php\_exec

ausearch -k php\_exec --start today \

| grep -E 'bash|sh$|curl|wget'

没有 auditd 的环境，退而在 EDR 或日志平台上建规则：php-fpm、php-cgi、httpd、apache2 任一进程的子进程名单里出现 sh、bash、cmd.exe、powershell、python、curl、wget，立即告警。补丁发布后官方技术细节会给出更精确的检测思路，届时再补规则。