PHP2Shell：一个漏洞，让全球近七成网站紧张了三天

原创

黑战士安全
黑战士安全

黑战士

2026年10月23日 23:48
广东

去阅读

10 月 21 日晚，一个叫「PHP2Shell」的漏洞，让全球互联网从业者集体进入应急状态。

理由简单到残酷：全球约七成网站都运行在 PHP 这套「地基」上，而地基本身出了两个严重漏洞。更让人不安的是，补丁发布的 45 分钟内，攻击尝试从几千次飙到几万次，两个小时内突破几十万次。

发生了什么

事情要从 10 月 20 日讲起。当天，有人在技术社区匿名披露了 PHP 的两个漏洞，编号 CVE-2026-109618 和 CVE-2026-109619，官方给出的危险评级都是 9.2 分（满分 10 分）。这组漏洞被社区合称为 PHP2Shell。

PHP 官方 10 月 20 日发布的安全预告：两个漏洞 CVSS 均为 9.2，补丁提前至 10 月 21 日发布。图源：php.net 官网

按原计划，补丁要到 10 月 22 日才发布。但漏洞细节和测试代码提前流出，甚至有一家安全公司提前发布了含修复的软件镜像——等于把「答案」提前公之于众。PHP 官方被迫把补丁提前一天，于 10 月 21 日紧急发布。

更早的线索来自亚马逊：它设在网络上的「蜜罐」（诱饵服务器）在 10 月 17 日、也就是漏洞公开前四天，就记录到了攻击尝试。补丁落地后，攻击量更是滚雪球式增长。

漏洞到底是怎么回事？

要理解这个漏洞，先记住一件事：它不在某个网站程序里，而在 PHP 这个「运行环境」内部。

打个比方：PHP 相当于一栋大楼的「物业」——无论楼里住的是哪家住户（WordPress、电商系统，还是自己写的网站），物业都要先开门、先做接待。而这次的问题，恰恰出在「物业接待访客」这个环节：在处理「上传进度显示」这一老功能时，存在一个十几年前就埋下的隐患。

攻击者不需要账号密码，不需要破解任何东西，只要向服务器发送一个精心构造的请求，就能：

直接偷看服务器内存里的内容——其他用户的密码、登录凭证、密钥；

更进一步，直接在服务器上执行命令，拿到网站进程的控制权。

最可怕的一点：整个过程发生在「住户（网站程序）」还没开始运行之前。也就是说，你的网站代码写得再安全，也拦不住它——因为攻击根本没经过你的代码。

到底有多严重：影响面与一个冷静的提醒

先说影响面。几乎所有跑 PHP 的网站都在射程内，包括 WordPress、Drupal、Laravel 等大量知名系统，以及无数企业内部系统、电商平台。有机构估算，公网暴露的 PHP 实例可能超过 2200 万。

但这里必须讲两句「降温」的话，避免恐慌：

第一，漏洞严重，但公开的利用代码目前更像是「实验室复现」，需要特定环境条件，还不是「点一下就能攻破全网」的一键武器。多数安全机构承认：看到了大量攻击尝试，但大规模「成功入侵」的公开证据还不充分。

第二，真正麻烦的是一批「老机器」：官方只给还在维护的 8.2 到 8.5 四个分支发了正式补丁，更老的 8.1 及以下版本，官方几乎不给补丁——而公网上一半左右的 PHP 主机恰好跑在这些「没得补」的版本上。

所以结论是：不必恐慌，但绝不能拖。

你现在该做什么

如果只记三件事，记这三件：

1. 升级，升级，还是升级。 把 PHP 升级到官方修复版本（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）。这是唯一彻底解决的办法，没有捷径。
2. 升级要「重启」，不是「更新完就完了」。 很多人栽在这里：文件更新了，但服务没重启，跑的仍是旧代码。必须重启 PHP 相关进程（网站服务器、PHP 服务），容器环境要重新打包镜像。
3. 升不了，先关一个开关。 如果一时无法升级，在配置里关闭「上传进度显示」（session.upload\_progress），这是目前已知最容易被利用的入口。注意必须写在配置文件里，在代码里改已经来不及了。

同时，那些「没用」的做法也别浪费时间：单纯封 SSH 端口、只加网站防火墙规则、靠 disable\_functions 这类脚本层限制，都挡不住这个漏洞，只能当辅助。

结尾

PHP2Shell 之所以震动这么大，不是因为技术有多「神」，而是因为它足够「普遍」：一个十几年前的设计缺陷，一个所有网站都默认开启的功能，组合成了一条直通服务器的路径。

对普通用户来说，最该做的是提醒自己的网站服务商、IT 团队尽快升级；对运营者来说，今晚之前，先搞清楚三件事——你的 PHP 装在哪、跑的是什么版本、谁能保证今晚就打好补丁并重启。

---