“php2shell”危机：AI发现的9.2分PHP漏洞引发全球修补竞赛，逾百万主机暴露于风险之中

原创

网空闲话
网空闲话

网空闲话plus

2026年10月22日 06:54
北京
标题已修改

去阅读

php2shell：两个9.2分RCE漏洞与AI改写的攻防窗口

PHP紧急修复两个CVSS 9.2的远程代码执行漏洞，影响过去十年几乎所有版本。从发现到披露，AI首次跑在了攻击者前面。

01漏洞基本情况：两个“严重”级RCE

2026年10月21日，PHP项目团队紧急发布安全补丁，修复两个CVSS v4.0评分均为9.2的远程代码执行漏洞。这两个被统称为“php2shell”的漏洞影响过去十年间发布的几乎所有PHP版本，而PHP支撑着全球约70%至80%的已知服务器端语言网站。从CISA到CERT-EU，从Fastly到Huntress，从OpenAI到Wiz，安全界正以前所未有的紧迫感推动修补工作，而这场危机的发现过程本身，正在改写AI时代漏洞治理的叙事。

此次修复的两个漏洞分别为CVE-2026-109618（GHSA-w8hw-w9fx-j79w）和CVE-2026-109619（GHSA-6wmf-4rv5-p3rp），均允许未认证攻击者在受影响服务器上执行任意代码。PHP官方安全公告明确指出，“所有提供Web请求服务的PHP安装均面临风险”，涵盖PHP-FPM、Apache搭配mod\_php、php-cgi、FrankenPHP和LiteSpeed。PHP团队认为mod\_php风险最高，已演示的利用方式显示，单个未认证请求即可在应用程序代码运行之前触发攻击。

从技术机理看，CVE-2026-109618源于内存耗尽（OOM）处理过程中的内存损坏：PHP通过longjmp()中止超出memory_limit的请求，这一过程可能中断PHP时内部请求数据仅部分初始化，请求清理阶段随后可能将无效数据当作有效数据处理，而被释放的内存可能仍包含攻击者控制的先前分配数据。CVE-2026-109619则涉及“陈旧全局状态”：请求拥有的内部状态在其底层内存被释放后仍然存活（例如致命错误之后），同一工作进程处理的后续请求可能在正常初始化重置之前使用该陈旧状态。CERT-EU的技术分析进一步指出，前者可导致内存损坏，后者可发展为受控的内存破坏。修复版本为PHP 8.5.12、8.4.27、8.3.36和8.2.35。

PHP官方强调，“没有完整的缓解措施，更新是唯一安全的选择”。对于无法立即更新的场景，官方提供了一系列临时缓解措施，但明确这些措施“不能使安装变得安全”。

针对CVE-2026-109618，建议通过php_admin_value将memory_limit设为-1（并检查无其他设置重新施加有限限制）、将post_max_size降至8M（无文件上传场景）或32M（有上传场景）并保持upload_max_filesize低于该值、在Web服务器或代理层限制请求规模，并使用容器或cgroup内存限制作为可用性边界（明确不应以RLIMIT_AS或RLIMIT_DATA替代，因其可能触发漏洞路径）；针对CVE-2026-109619，建议设置session.upload_progress.enabled=0并重启所有工作进程（须在请求解析前生效，不可依赖ini_set()或FPM .user.ini）、在PHP 8.5上设置fatal_error_backtraces=0并重启所有工作进程、移除在初始化前发出诊断的无效或弃用逐请求设置、修复攻击者可触达的致命错误和执行超时。

◆

02暴露面：逾百万主机与大量遗留系统

此次漏洞的潜在暴露面极为广泛。CyberScoop援引市场研究数据指出，PHP运行在70%至80%的已知服务器端语言网站中，支撑着WordPress、Drupal、Joomla和Laravel等平台。研究人员估计超过130万台互联网暴露主机可能受影响，Shodan搜索则统计到约190万台。

更令人担忧的是，在披露版本信息的服务器中，多数运行的是已不再接收安全更新的分支：据VirusTotal数据，约75.8万台运行PHP 5.4至8.1版本，而受支持分支上仅有约27.2万台。

CERT-EU将PHP 8.5、8.4、8.3、8.2的早期版本以及已停止支持的PHP 8.1及更早分支均列为受影响产品，并特别提醒许多商业和开源产品以PHP作为后端技术，即使不直接暴露PHP安装也可能受影响，建议参考NCSC-NL的GitHub仓库识别嵌入PHP的第三方软件。

Wiz的研究进一步指出，漏洞存在于PHP核心引擎层面，“即使是一个简单的‘Hello World’应用，运行在受影响PHP版本上也可能存在漏洞”，利用不依赖于应用代码的缺陷。PHP 8.2将于2026年12月31日停止支持，此后不再接收安全修复。

◆

03各方表态与利用现状：探测活跃，大规模利用尚待确认

各主要机构的表态呈现出“高度警惕但大规模利用尚未确认”的总体基调，同时存在值得注意的分歧。美国网络安全和基础设施安全局（CISA）表示，截至发布时“未观察到这些漏洞的利用情况”，但强调“若未修补，它们对组织构成风险”。

Huntress首席安全运营分析师Jon Semon告诉CyberScoop，未观察到或独立确认在真实客户系统上的成功利用，该机构检查了其可见的Linux Web服务器，未发现与公开概念验证中后利用行为（如Web服务器进程生成shell执行侦察命令或向Web根目录写入文件）匹配的活动。

然而，Fastly首席产品官Kelly Shortridge指出，“我们看到明确证据表明攻击者正在积极探测和侦察PHP应用”，并警告“对于这种严重程度和攻击投资回报率的漏洞，从披露到广泛、可重复利用的窗口通常是数小时到几天”。watchTowr的FAQ则声称，截至10月21日已通过其“Attacker Eye”全球蜜罐网络观察到在野利用——这一说法与CISA和Huntress的评估存在差异，尚待进一步核实。

CERT-EU指出，技术细节正在公开讨论，初始概念验证已开始流传，“这提高了攻击者已在利用这些漏洞的可能性”。CERT-EU和英国国家网络安全中心（NCSC）均建议组织尽快更新系统，在无法立即修补的情况下考虑将面向互联网的应用与公共网络隔离。

PHP官方提醒，Linux发行版和LTS供应商已提前收到补丁；对于PHP 8.1及更早版本，部分发行版和LTS供应商提供回溯修复，PHP安全团队也为PHP 7.4、8.0和8.1提供了最小化源码回溯补丁。CERT-EU还特别指出，志愿者维护的rpms.remirepo.net仓库在发布日不会提供更新，敦促用户转向发行版软件包或从源码构建。历史记录亦构成警示：CISA的已知被利用漏洞目录中已列出三个PHP相关漏洞，其中两个被用于勒索软件活动。

◆

04AI发现漏洞：“防御者窗口”与攻防经济学的改变

此次漏洞的发现过程构成了一个值得关注的叙事。据CyberScoop和Wiz博客，漏洞由AI网络安全公司Calif使用OpenAI的GPT-5.6 Sol发现，Wiz则使用其自研的Wiz Atlas、Google的Gemini 4 Argon以及GPT-5.6 Sol独立发现并报告了漏洞。这一发现触发了OpenAI、PHP维护者、研究人员和安全提供商之间为期两个月的协作，以开发长期技术修复并为公开披露做准备。

Wiz公布的负责任披露时间线显示：8月19日发现首个漏洞，8月20日和21日分别确认对Drupal和WordPress的未认证RCE，8月24日向PHP安全团队报告，9月21日PHP确认并开始开发协调修复，10月21日补丁发布并公开披露。

OpenAI在一篇未署名博客中表示，“据我们所知，前沿AI在攻击者之前发现了这些漏洞，为维护者和安全提供商在披露前准备修复和防护打开了‘防御者窗口’”。OpenAI同时警告，PHP漏洞是其“已经发现并正在修复的若干重要漏洞之一”，预计未来几个月类似发现将急剧增加，并提供了免费工具帮助识别易受攻击版本。

Google DeepMind Gemini安全负责人Raluca Ada Popa表示，Gemini 4 Argon在漏洞发现、利用开发、攻击检测和补丁验证中做出了宝贵贡献，“十多年来，这些关键漏洞因发现和利用极其复杂而未被处理”。

Wiz的研究则更为深入地揭示了AI对漏洞利用经济学的改变。研究人员指出，这些底层缺陷已存在数十年，但将其转化为可用利用需要链接多个缺陷并适应不同PHP版本、配置和应用行为的内存布局，“在AI之前，这种人工工作难以实施，更难扩展”。大型语言模型可以适应不同PHP版本、配置或内存布局，利用第三方测试和调试工具分析失败并迭代调整，“降低了每个目标所需的专家投入”。

Wiz研究团队写道：“这改变了发现和利用的经济学。随着AI降低开发和适应复杂利用所需的努力，曾经看似不切实际的漏洞变得可行。”Wiz将php2shell与2014年的Heartbleed和2021年的Log4Shell相提并论，认为它可能标志着AI时代的类似转折点。该机构演示了针对WordPress、Drupal和Joomla最新容器镜像的未认证RCE，并展示了无需实现RCE即可读取PHP进程内存中敏感数据（包括密码、令牌和API密钥）的能力。

Wiz同时承认，其报告的四个bug（上传进度反序列化器释放后使用、远程进程内存泄露、致命错误回溯释放后使用、OPcache类型混淆）只是该问题模式的部分实例，“还有其他已追踪和可能未追踪的变体”，PHP团队的补丁修复了核心问题并消除了修补版本中的所有变体。

◆

05可预见的影响与后续发展

短期来看，互联网正经历一轮争分夺秒的修补竞赛。PHP官方已将原定10月22日的发布提前至21日（实际于13:30 UTC发布，早于其预告的14:00 UTC），并表示若细节公开或出现利用证据可进一步提前。watchTowr称已复现其中一个漏洞，Kirill Firsov分享的利用链演示视频在网络上传播（其致谢研究人员LCFR和Calif.io），声称可利用的代码正在流传但尚未经验证——安全公司警告此类代码有时被植入恶意软件。Huntress和Tenable等安全公司表示将随着技术细节和概念验证代码的出现更新分析。

中期而言，未修补的遗留系统构成最大风险。超过75万台运行PHP 5.4至8.1的暴露主机不再从PHP项目获得安全更新，部分依赖发行版或LTS供应商的回溯修复，而志愿者维护的仓库在发布日无法提供更新。CERT-EU建议参考NCSC-NL仓库识别嵌入PHP的第三方软件，这意味着影响可能远超直接暴露的PHP安装。

更长远地看，此次事件可能成为AI时代漏洞治理的一个标志性案例。Wiz研究人员指出，漏洞深植于PHP代码库的深层架构决策中，“虽然我们最初向PHP报告了四个bug，但通过这项研究我们意识到漏洞深植于PHP代码库，需要全面修复”。

OpenAI则预告“类似发现将急剧增加”，这暗示着AI驱动的漏洞发现正在加速，防御方能否持续获得“防御者窗口”将取决于协作披露机制的有效性。互联网正与时间赛跑，而这场竞赛的结局将在未来数小时至数日内逐渐明朗。

参考文献

1、CyberScoop. \"PHP releases emergency fixes for 2 critical vulnerabilities.\" 2026年10月21日. https://cyberscoop.com/php-emergency-patches-php2shell-vulnerabilities/

2、PHP官方. \"Security advisory: Critical remote code execution vulnerabilities, update now.\" 2026年10月21日. https://www.php.net/index.php#2026-10-20-1

3、CERT-EU. \"Security Advisory 2026-018: Critical Vulnerabilities in PHP.\" 2026年10月21日. https://cert.europa.eu/publications/security-advisories/2026-018

4、watchTowr. \"Frequently Asked Questions About PHP Remote Code Execution (PHP2Shell CVE-2026-109618 & CVE-2026-109619).\" 2026年10月21日. https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

5、Wiz Research. \"PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet.\" 2026年10月21日. https://www.wiz.io/blog/php2shell-php-rce

END

感谢阅读，欢迎关注、点赞与分享