【高危漏洞预警】PHP核心双高危远程代码执行漏洞（CVE-2026-109618 / CVE-2026-109619代号PHP2Shell）

飓风网络安全

2026年10月21日 14:08
江苏

去阅读

一、漏洞概述

本次爆出两个绑定发布的PHP内核漏洞，对外代号PHP2Shell，编号CVE-2026-109618、CVE-2026-109619，漏洞细节在官方协调披露前提前泄露，已有研究POC演示流出。

两个漏洞均属于PHP解释器底层运行时缺陷，不依赖业务代码、不依赖Web框架；WordPress、Laravel、Drupal、Magento、Joomla等主流PHP应用全部受影响，与上层业务代码是否存在漏洞无关。

攻击者构造特制HTTP POST请求（multipart表单上传协议路径），在PHP业务脚本执行之前即可触发内核缺陷，绕过常规应用层防护，以php-fpm/web进程权限执行任意系统命令，拿下Web服务器控制权，可实现数据窃取、植入WebShell、横向渗透、勒索加密等攻击行为。

重点区分：

• CVE-2026-109618：Zend引擎调用链路内存对象污染漏洞，为主利用链入口；

• CVE-2026-109619：Zend函数调用（zend\_call\_function）偏移操控漏洞，配合前者完成函数劫持、执行system等危险原生函数，二者可链化利用，也存在单独触发风险。

二、影响范围

⚠️ PHP官方尚未最终确认精确受影响清单，综合CERT-EU、海外安全实验室情报汇总：

1. 受影响版本：PHP 5.4 ~ PHP 8.5 绝大多数版本，覆盖5.x、7.x、8.0、8.1、8.2、8.3、8.4、8.5分支

2. 仅当前官方支持分支（PHP8.2/8.3/8.4/8.5）会发布官方补丁；

3. EOL停止维护分支（PHP5、PHP7、PHP8.0、PHP8.1）无官方补丁，不会提供修复，仅能做隔离、下线、迁移升级；

4. 风险资产清单（务必全部盘点）：

公网PHP Web站点（Nginx/Apache + php-fpm）

容器镜像、云函数、虚拟主机、宝塔/cPanel/Plesk等主机面板内置PHP

内网业务、OA、Wiki、CRM、电商后台、运维平台

嵌入式设备、商用交付软件内置打包的PHP运行时

5. 触发前置条件（默认配置即可满足，无需特殊参数）

session.upload\_progress.enabled = On（PHP默认开启），是本次利用链的关键依赖项

三、漏洞原理

漏洞根源位于PHP session\_upload\_progress 上传进度会话处理模块：

1. 攻击者发送高速分片multipart/form-data POST请求，触发session上传进度缓存写入逻辑；

2. CVE-2026-109618：内核在管理session缓存对象时，发生越界读写/类型混淆，篡改zend对象的虚表、函数指针；

3. CVE-2026-109619：利用污染后的对象，篡改zend\_fcall\_info结构体参数计数、内部函数handler指针，劫持zend\_call\_function调用流程；

4. 攻击者定向劫持至system、exec、shell\_exec等内置危险函数，传入可控命令参数，完成RCE；

5. 攻击发生在PHP脚本解析执行之前，WAF常规SQL注入、一句话木马特征规则很难拦截。

注：完整源码diff、精准偏移、稳定POC在官方补丁正式发布前，未完全公开稳定可复现版本；安全厂商预测补丁放出后15分钟内，全网自动化扫描与批量攻击工具会大规模扩散。

四、检测排查方案

4.1 资产盘点（优先执行）

1. 遍历所有服务器、容器、主机面板，执行命令查看PHP版本

php -v

php-fpm -v

2. 检查php.ini配置：

grep \"session.upload\_progress.enabled\" php.ini

3. 资产标记优先级：公网可直接访问 > 内网业务 > 测试环境

4.2 流量&日志检测（应急狩猎规则）

• 特征：短时间大量POST / multipart/form-data请求，携带PHP\_SESSION\_UPLOAD\_PROGRESS参数，请求体分片异常、请求速率极高；

• 告警基线：PHP进程（php-fpm、lsphp）异常调用bash、curl、wget、chmod、nc、python等系统解释器；

• 日志点位：Nginx/Apache access.log、php-fpm slowlog、服务器auditd审计日志、EDR进程创建日志；

五、应急缓解方案（补丁未下发窗口期临时防护）

1. 临时关闭session upload progress（最有效缓解手段）

修改php.ini

session.upload\_progress.enabled = Off

修改后重启php-fpm、web服务，阻断整条利用链入口；

2. 网络层隔离（EOL老版本优先）

PHP5/PHP7/8.0/8.1无补丁资产：禁止直接暴露公网，加VPN、IP白名单、下线迁移；

WAF/反向代理ACL：限制陌生公网IP对PHP入口POST表单上传接口访问；

3. 主机侧防护

EDR/安全策略：对php-fpm进程做子进程创建告警，禁止php进程直接拉起shell；

最小权限：php-fpm运行用户禁止sudo、禁止写Web根目录以外路径；

4. 运维预案

提前准备测试环境，拉取新版本PHP包、准备回滚脚本、变更审批窗口；

托管云主机、虚拟主机用户：立刻联系服务商，等待运营商推送补丁包。

六、正式修复方案（补丁发布后执行）

1. 升级至官方修复版本（预计修复版本）

PHP 8.5 → 8.5.12

PHP 8.4 → 8.4.27

PHP 8.3 → 8.3.36

PHP 8.2 → 8.2.35

以php.net官方公告为准，版本号仅为前期情报预估，上线前核对官方release note

2. 升级操作后必须重启php-fpm、Nginx/Apache；

3. 升级完成复测业务功能，同时核查日志是否存在入侵痕迹；

4. 长期治理：淘汰PHP7及更早停止支持版本，统一迁移至8.4/8.5稳定分支，建立PHP版本资产台账。

七、风险与运营提示

1. 攻击门槛极低：无需账号密码、不需要注册登录，裸奔公网PHP服务器风险极高；

2. 攻击面极大：国内大量建站、中小企业站点、自研后台均基于PHP，是黑客批量扫描首选目标；

3. 供应链风险：很多商用软件、堡垒机、OA内置PHP，这类资产容易被运维遗漏；

4. 溯源难点：漏洞在底层触发，不会留下传统WebShell上传特征，失陷后需要进程审计、内存取证排查。