关于对PHP2Shell漏洞开展修复的风险提示

国家互联网应急中心CNCERT

2026年10月22日 12:56
北京

去阅读

以下文章来源于CNVD漏洞平台
，作者CNVD

CNVD漏洞平台
.

国家信息安全漏洞共享平台（China National Vulnerability Database）是由国家计算机网络应急技术处理协调中心联合重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库。

2026年10月21日，PHP官方修复并披露了两个高危远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。该漏洞存在PHP核心层，影响WordPress、Drupal、Joomla、Laravel等主流CMS和框架在内的PHP运行环境。未经身份验证的远程攻击者在特定条件下，可构造恶意HTTP请求触发内存错误，实现对目标服务器的拒绝服务攻击、敏感数据窃取、远程代码执行。

目前，漏洞技术细节与PoC已广泛传播，业界对此漏洞的RCE利用链正在开展进一步研究。CNVD建议PHP用户及时开展自查，关注官方信息，通过官方渠道及时更新升级至最新版本。