【立即修复】 PHP 未认证 RCE 已在野利用，补丁已发布 CVE-2026-109618

红队安全圈
红队安全圈

红队安全圈

2026年10月22日 08:00
重庆

去阅读

PHP 核心爆出 CVSS 9.2 的未认证 RCE（php2shell，CVE-2026-109618/109619），影响近十年所有 PHP 版本，紧急补丁已刚发，已观测到在野利用。

PHP 官方在 10 月 21 日发了紧急安全更新，一次修掉两个核心引擎里的严重漏洞。漏洞细节在披露前意外泄露，可用的利用代码已经在社区流传，多家防护厂商都观测到了真实的利用尝试。全球约七成网站跑在 PHP 上，WordPress、Drupal、Joomla 这些建站系统全部在内。如果你手上还有 PHP 服务器没打这批补丁，今天上午就该处理。

02  漏洞速览

漏洞编号CVE-2026-109618 / 109619

影响产品PHP 核心引擎，与应用代码无关

影响版本PHP 5.4 起近十年所有版本

漏洞类型内存安全（UAF / 类型混淆）

危害等级CVSS v4.0 9.2 Critical

攻击前提无需认证，普通 HTTP 请求

在野状态利用代码流传，已有利用尝试

修复版本8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

03  漏洞成因

根因在 PHP 处理致命错误时的状态管理。请求触发内存耗尽（OOM）或其他 fatal error 时，PHP 没有干净地清理内部状态，直接留下一段损坏的数据结构。下一个请求或 worker 复用这段脏状态，就会造成 use-after-free 或类型混淆。

两个 CVE 各覆盖一组可利用点：

CVE-2026-109618：upload-progress 反序列化 use-after-free 加远程进程内存泄露。可未认证读出 PHP worker 内存，里面往往有密码、token、API key、证书；也可以直接破坏进程内存拿到代码执行。

CVE-2026-109619：fatal-error backtrace use-after-free 加 OPcache 类型混淆。OPcache 是跨请求共享的，破坏它可以让共享状态里的假对象被执行。

这次被评为历史级还有另一个原因：底层缺陷存在了十几年，一直没人能把它串成可用的利用链——要链多个 bug、逐目标适配内存布局，工作量贴着人类研究者的极限。这次研究方用前沿 AI 模型把整个调试迭代过程自动化，几小时内就在 WordPress、Drupal、Joomla 的最新镜像上跑通了未认证 RCE。原来太复杂所以没人利用的假设，在 AI 时代失效了。

04  影响范围

受影响：PHP 5.4 至修复前的全部 8.x 版本。哪怕应用代码写得很干净、只有一个 Hello World 页面，只要 PHP 版本旧就中招。

不受影响：已升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 的实例。发行版可能打了等价补丁（Ubuntu 等已陆续发更新包），版本号会不同，以发行版公告为准。

05  危害推演

完整利用代码已在地下流传，按已知成因推演攻击路径：

第一步，探测目标 PHP 版本与框架（WordPress/Drupal/Joomla 优先，暴露面最大）；

第二步，发送构造的异常请求，触发 OOM 或 fatal error，让 worker 留下脏状态；

第三步，后续请求复用这段状态：要么直接打 RCE 拿 webshell，要么先做内存泄露，把同 worker 里其他请求的密码、token、API key 读出来再横向。

实际攻击里第二步往往不需要一次成功——PHP 进程常驻复用，多试几次总能命中。这也是为什么防护厂商判断接下来会出现大规模批量挂 webshell，而不是定向渗透。

06  检测与排查

先确认版本：

php -v

或看 HTTP 响应头

curl -sI http://your-site/ \

| grep -i x-php

版本低于 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 即受影响。数据库、备份凭据、API key 在同一 worker 内存里过的，按已泄露处理，打完补丁后轮换。

07  修复建议

立即升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，或安装发行版的更新包。

暂时升不了的：Cloudflare、Fastly、Akamai 等已上线针对该漏洞的 WAF 规则，开在前面能顶一阵，但只是缓解不是修复。

补丁从核心修掉了整类变体，升级后无需再做额外配置。

08  红队视角

这个洞是过去两年最重要的转折点信号：漏洞本身十几年没被武器化，AI 把最后的工程门槛抹平了。以后评估一个老漏洞的危险度，不能再默认这么多年没人利用说明链不起来。

对防守方，三条可直接带走的东西：PHP 是共享基础设施，核心引擎的洞等于全站应用一起暴露，资产管理里 PHP 版本要当成一级资产盯；内存泄露比 RCE 更隐蔽，没有 webshell 落盘，事后要靠轮换凭据兜底；WAF 规则只能挡已知姿势，这类基于状态损坏的利用变体很多，补丁是唯一闭环。

有公开 PoC 仓库上线会第一时间跟进实测。

09  POC 链接

利用代码未公开成仓库，先放三篇官方技术分析（含利用链细节与时间线）：

https://www.wiz.io/blog/php2shell-php-rce

https://calif.io/php2shell/

https://www.php.net/archive/2026.php

下期继续蹲厂商补丁和 PoC 动静，关注后漏洞先知道，修复不踩坑。

— END —