PHP 两项严重漏洞预警：CVE-2026-109618 与 CVE-2026-109619 已知信息与应对建议

原创

好靶场
好靶场

好靶场

2026年10月21日 11:59
四川

去阅读

好靶场 团队宗旨：我们立志于为所有的网络安全同伴制作出好的靶场，让所有初学者都可以用最低的成本入门网络安全。所以我们团队名称就叫“好靶场”。

好靶场介绍

官网链接http://hbc.haobachang.com/

好靶场新手入门教程指南2.0

【福利上新】超级会员年会内部基础课免费开课了

GZH WORKBENCH

已知信息与应对建议

PHP 安全团队预告紧急安全更新，两项漏洞评分均为 CVSS v4.0 9.2。在技术细节尚未完整公开的阶段，哪些信息已经确认，哪些说法仍需等待验证？  信息截点：北京时间 2026 年 10 月 21 日约 11:33。本文依据该时点已取得的公开资料改写，未新增实时核验；后续发布状态、受影响范围与修复版本，以 PHP 官方公告为准。

导读 · CONTENTS

01官方已经确认什么

02高评分之外的技术空白

03复现消息与真实攻击的区别

PHP 安全团队预告紧急安全更新，两项漏洞评分均为 CVSS v4.0 9.2。在技术细节尚未完整公开的阶段，哪些信息已经确认，哪些说法仍需等待验证？  信息截点：北京时间 2026 年 10 月 21 日约 11:33。本文依据该时点已取得的公开资料改写，未新增实时核验；后续发布状态、受影响范围与修复版本，以 PHP 官方公告为准。

网站可以正常访问，业务日志也没有明显异常，但底层运行时可能正面临一场需要提前准备的安全更新。对于维护 PHP 应用的团队来说，漏洞披露前最容易耽误时间的环节，往往是弄清楚：哪些业务真正运行着 PHP，这些运行时由谁维护，补丁发布后又该更新哪里。

2026 年 10 月 20 日，PHP 安全团队发布预告，宣布将推出修复两项严重漏洞的安全更新，两项漏洞的 CVSS v4.0 评分均为 9.2。CERT-EU 随后将这次更新与 CVE-2026-109618、CVE-2026-109619 关联，并提示其可能带来远程代码执行风险。

https://www.php.net/archive/2026.php#2026-10-20-1

https://cert.europa.eu/publications/security-advisories/2026-018/

这一预警值得重视，但现有证据还不足以支持“所有 PHP 网站均可直接被接管”这样的结论。漏洞的严重程度、部署是否受影响，以及攻击能否在具体环境中成立，需要分别判断。

01

官方已经确认什么

SECTION

PHP 官方预告给出的计划发布时间为 2026 年 10 月 21 日 14:00 UTC，即北京时间当日 22:00。公告说明，完整技术细节、受影响版本和修复版本将随更新一同公布；若漏洞细节提前公开，或出现野外利用证据，安全团队可能提前发布。本文的信息截点早于该计划发布时间。

https://www.php.net/archive/2026.php#2026-10-20-1

需要注意一个来源差异：PHP 的这篇预告没有直接列出两个 CVE 编号。编号与本次安全更新的对应关系来自 CERT-EU，并得到 Beazley Security、Huntress 等机构报告的支持。写作和转述时，应将官方确认的评分、发布安排，与机构报告中的漏洞性质及编号映射区分开来。

https://cert.europa.eu/publications/security-advisories/2026-018/

https://labs.beazley.security/advisories/BSL-A1233

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

上表中的 CVE 状态来自两个编号的官方页面；评分与发布安排以 PHP 预告为准，产品关联和 RCE 描述以 CERT-EU 等机构报告为依据。RESERVED 表示编号已被保留，不代表漏洞已被否定，也不代表受影响条件已经公开。

https://www.cve.org/CVERecord?id=CVE-2026-109618

https://www.cve.org/CVERecord?id=CVE-2026-109619

https://www.php.net/archive/2026.php#2026-10-20-1

https://cert.europa.eu/publications/security-advisories/2026-018/

02

高评分之外的技术空白

SECTION

远程代码执行，即 RCE，意味着攻击者可能让目标系统执行其控制的代码。若这一能力在某个 PHP 部署中成立，应用配置、数据库凭据、可写目录以及服务能够访问的其他资源，都可能面临后续风险。不过，这是基于 RCE 性质的条件性影响分析，不表示攻击者必然获得管理员权限或突破容器边界。

现阶段，公开资料尚未明确指出受影响的函数、扩展、请求入口和配置条件，也没有给出足以区分 Linux、Windows、PHP-FPM、CGI 或 Apache 模块部署风险的技术信息。两项漏洞是否相关、能否组合利用，同样尚未得到 PHP 官方确认。因此，不能将其直接归类为反序列化、参数注入或某种内存破坏漏洞。

https://labs.beazley.security/advisories/BSL-A1233

CERT-EU 提到“潜在的无认证远程代码执行”，但 PHP 预告尚未公开完整 CVSS 向量、认证要求和用户交互条件。仅凭 9.2 的分值，无法反推出“无需认证”“默认配置必受影响”或“发送任意 HTTP 请求即可触发”。

https://cert.europa.eu/publications/security-advisories/2026-018/

https://www.php.net/archive/2026.php#2026-10-20-1

关于“PHP 5 及之后的版本均受影响”的说法，多个第三方报告有所提及，但官方版本矩阵尚未公布。它可以作为扩大资产排查范围的理由，不能直接作为确认某个生产环境存在漏洞的证据。

https://labs.beazley.security/advisories/BSL-A1233

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

03

复现消息与真实攻击的区别

SECTION

Huntress 引述 watchTowr 已复现 CVE-2026-109618，但这不等于利用代码已经公开，更不能据此认定 CVE-2026-109619 也具备相同的利用方式。Huntress 同时说明，其尚未自行构建或复现这两个漏洞的 PoC，也未掌握公开利用代码。

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

在本文取得的资料中，Huntress 没有在伙伴环境中观察到相关野外利用，Beazley Security 和 watchTowr 的报告也未报告野外利用。这些结论都有各自的观测范围和时间限制，不能被扩展为“互联网上没有攻击发生”。

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

https://labs.beazley.security/advisories/BSL-A1233

https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

当前尚未取得经核实的专属攻击特征或 IOC。 PHP 进程启动 shell、网站目录出现陌生脚本等现象，可以作为入侵调查线索，但不能仅凭这些通用行为，就将事件归因于这两个 CVE。Huntress 的报告也明确表示，尚无已确认的 IOC。

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

04

补丁发布前的准备

PREPARE

CERT-EU 建议识别 PHP 应用并准备在修复版本发布后及时更新；对于无法及时修复的公网应用，可考虑暂时隔离。Huntress 和 Beazley Security 则提醒，排查不能止于常见 Web 服务器，还应覆盖容器、控制面板、托管服务和捆绑 PHP 的第三方软件。

https://cert.europa.eu/publications/security-advisories/2026-018/

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

https://labs.beazley.security/advisories/BSL-A1233

据此，建议先理清“业务入口、实际运行时、维护方”之间的对应关系。公网业务、承载敏感数据的系统，以及缺乏维护的遗留环境，应优先进入排查范围；对于不需要公开访问的管理页面或内部应用，可以先缩小其网络可达范围。

版本核验尤其容易出现偏差。在授权环境内，php -v 可以辅助识别命令行 PHP，却不能代替 Web 服务实际运行时的核验。同一台机器可能存在多个 PHP 版本，容器内的版本也可能与宿主机不同。核对 PHP-FPM 池、CGI 路径、Web 服务器配置和镜像记录，通常比只保存一张命令行版本截图更有意义。

遗留环境还需要提前明确维护路径：由官方分支、操作系统发行版、软件供应商还是托管平台提供更新。不能假定所有旧分支都将获得此次补丁，也不要在触发条件未知时，将 WAF、关闭个别函数或一般性配置加固宣称为已经验证的替代修复方案。具体修复覆盖范围仍需等待维护方公告。

https://labs.beazley.security/advisories/BSL-A1233

05

更新后的验收与监测

SECTION

正式安全公告发布后，首先应核对两个 CVE 各自的受影响范围，再选择对应的修复包。如果使用发行版回移补丁，判断依据应包含发行版安全公告和包修订号，不能只比较上游版本号。依赖软件供应商或托管平台的环境，也需要取得其明确的修复说明。

https://labs.beazley.security/advisories/BSL-A1233

补丁验收建议落到实际承载流量的进程上：确认相关服务已经切换到修复包，容器已替换为更新后的实例，并完成登录、会话、上传和数据库访问等关键业务回归。安装包已经升级，并不必然意味着所有旧工作进程都已退出。

在检测侧，Huntress 建议关注 PHP 或 Web 服务进程启动异常 shell、解释器及下载工具的行为。结合 Web 根目录新增脚本、异常外联和新增持久化任务，可以帮助发现值得调查的活动。正常业务也可能启动子进程，因此判断时还应结合进程树、命令行、访问日志和变更记录。

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

如果已经发现可信的入侵迹象，建议保全相关日志和取证信息，限制涉事主机的网络活动，并评估应用凭据与关联账户是否受到影响。修补漏洞只能封堵后续利用路径，无法自动清除已经留下的恶意文件、任务或被窃取的凭据。

06

后续关注重点

SECTION

接下来最有价值的新增信息，是两个编号各自的技术根因、完整 CVSS 向量、受影响与修复版本，以及平台和配置要求。这些细节将决定排查能否从“广泛识别 PHP 资产”收敛到“确认具体受影响部署”，也将决定检测规则和临时缓解措施能否针对实际触发路径发挥作用。

对外发布时，尤其应保留信息截点。早期研究文章仍可能沿用原定披露日期或尚未评分的旧描述，不能据此覆盖 PHP 已发布的安全更新预告。本文未独立复现漏洞，也不包含利用代码；如果发布时已超过北京时间 2026 年 10 月 21 日 22:00，应先重新核对官方公告，再更新版本范围、补丁状态和利用态势。

https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

https://www.php.net/archive/2026.php#2026-10-20-1

如何使用好靶场

首先关注“好靶场微信公众号”然后发送bug，可以点击链接直接登录

微信群、QQ群每日更新限免靶场与免费学习资料，加好友即可拉你进好靶场内部交流群，群内同步全部通知

福利

福利1：个人中心输入：[官方邀请码]：0482d6d28539424c，白嫖14天高级会员。

福利2：每日限免：我们会在工作日随机开放一些靶场的限免，还请加群关注。

好靶场AI资讯

为方便方便大家及时获取每日的AI资讯内容，我们选取了每日的AI资讯内容在群聊中更新。