PHP2Shell.help
简体中文
菜单
PHP 8.2–8.5 修复版本已发布 独立社区资源 · 事实核实于 2026年10月22日

PHP2Shell 检测工具 / PHP2Shell 漏洞

PHP2Shell 漏洞：是什么、影响谁、有多严重

PHP2Shell 指 PHP 运行时里的两个内存安全漏洞：CVE-2026-109618（内存不足时清理出错）和 CVE-2026-109619（请求结束后残留状态被误用）。处理网页请求的 PHP 只要低于所在分支的修复版本就在受影响范围内，mod_php 风险最高。修复方法是升级 PHP，不是升级网站程序。

PHP2Shell.help 编辑部核实日期 官方来源 ↓

PHP2Shell 的两个漏洞分别是什么？

两个漏洞同时在 PHP 官方安全公告里公布，修复版本也相同：

漏洞官方编号安全公告简单说
内存不足导致内存破坏CVE-2026-109618GHSA-w8hw-w9fx-j79w请求初始化时内存用尽，后续清理用到了没初始化完的数据
残留全局状态CVE-2026-109619GHSA-6wmf-4rv5-p3rp一个请求结束、内存释放后，worker 里还留着旧引用，下一个请求接着用

两个都是 PHP 内核层面的内存安全问题。攻击者如果能精确触发，就可能做到远程代码执行；研究方另外报告了一个可以读到进程内存的泄露问题。单独解释见 CVE-2026-109618 和 CVE-2026-109619。

PHP2Shell 影响哪些 PHP 版本？

官方修复版本是：

分支首个修复版本
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
8.1 及更早无新发行版（7.4、8.0、8.1 有官方源码补丁）

低于这些版本的 8.2 到 8.5 都在受影响范围内。更老的分支情况不同：研究方称至少有一个问题可以追溯到 PHP 5.4；PHP 官方为 7.4、8.0、8.1 提供了最小源码回移补丁，但没有发新的发行版。用老版本的见 PHP 停止维护版本。

哪些运行方式受 PHP2Shell 影响？

只要 PHP 在处理网页请求，就需要检查更新：

运行方式是否需要更新说明
Apache mod_php需要PHP 官方认为风险最高，已演示在应用代码运行前就能攻击的路径
PHP-FPM（常见于 Nginx、宝塔、1Panel）需要用 Nginx 或 FPM 不能当作不受影响的理由
CGI / FastCGI需要运行方式名称不能证明已修复
FrankenPHP需要同上
LiteSpeed（很多虚拟主机）需要同上
只在命令行跑脚本不能一概而论官方告警针对网页请求；只跑命令行不等于这套 PHP 没有这些缺陷，命令行显示的版本也不能代表网站用的 PHP

PHP2Shell 有多严重？

严重。远程代码执行意味着攻击者可能以网站进程的身份运行命令：改网站文件、读取配置里的数据库密码、植入后门、拿服务器去攻击别人。

原始研究称在 WordPress、Drupal、Joomla 的部署上演示了不需要登录的代码执行。PHP 官方在 GitHub 发布的两份安全公告给出的 CVSS 4.0 评分都是 9.2（严重），向量为 CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N：可以通过网络远程发起、不需要登录、不需要用户操作，一旦成功，对机密性、完整性、可用性的影响都是“高”；评分里的“攻击复杂度高、有前提条件”也说明利用并不简单。腾讯云的官方通告把它列为“高风险”，描述为未经认证的远程攻击者可通过特制请求利用，可能导致服务器被完全控制、数据泄露或被植入恶意程序。

但“漏洞存在”和“一定能被攻破”是两回事。实际能否利用，取决于 PHP 版本、运行方式、配置、内存布局和网站程序，不能假设所有网站都会以同样的方式被攻破，也不能假设自己的网站一定不会。

PHP2Shell 已经在被利用了吗？

已经有攻击尝试。Cloudflare 表示在补丁发布前就观察到了针对这两个漏洞的攻击流量，攻击者还在不断变换请求内容，并已为启用 WAF 的套餐上线防护。但截至本站核实时，还没有核实到成功入侵的公开案例；网上各种“PoC”的真实性本站也没有验证。

需要提醒两点：

  • 自称 PoC 或“一键检测”的代码仓库，本站没有验证，也不会链接；这类仓库夹带恶意程序的情况并不少见。不要下载运行。
  • 补丁已经公开，攻击者可以对比补丁定位问题。“还没核实到成功入侵”不是拖延升级的理由。

为什么说 PHP2Shell 影响“七成网站”？

“约 70%”出自 Wiz 原始研究 的标题，反映的是 PHP 在网站后端的普及程度，不是说七成网站已经或马上会被攻破。这个数字说明的是需要检查的范围很大，不是灾难已经发生。

PHP2Shell 和 wp2shell、以前的 PHP-CGI 漏洞是一回事吗？

都不是：

  • wp2shell 是 WordPress 核心的另一组漏洞，升级 WordPress 修复。
  • 以前的 PHP-CGI 漏洞是更早的独立漏洞，有自己的编号和修复，和这次的两个 CVE 无关。
  • PHP2Shell 是这次 PHP 运行时本身的两个漏洞，升级 PHP 修复。

名字相似的漏洞，处置方法要按各自的官方公告来，不要混用。

各国政府和官方机构怎么说？

日本、美国、英国、欧盟、德国、法国、西班牙、新加坡等十几个国家和地区的官方机构都发了公告或提醒。共同点是尽快升级到修复版本；日本、美国、英国等多家机构还建议，来不及升级就考虑先让网站或服务下线。

中文地区里，香港政府电脑保安事故协调中心（GovCERT.HK）发布了“高危保安警报”。中国大陆和台湾地区的国家级机构是否发布过公告，本站暂未核实到。企业方面，腾讯云 发布了风险通告；阿里云漏洞库 的首页列表收录了 CVE-2026-109618，定级高危，详情页本站未能打开，细节未核实。

国家/地区机构公告
中国香港特别行政区GovCERT.HK「PHP 多个漏洞」高危保安警报，涵盖两个 CVE。
新加坡CSA / SingCERT可被利用实现未经认证的远程代码执行，请立即打补丁。
日本国家サイバー統括室（NCO）尽快应用 PHP 修复；无法及时修复时，暂停网站也是有效选择。
日本内閣総理大臣紧急呼吁：确认是否使用 PHP、应用修复、无法修复时考虑暂停网站，并关注 NCO 的信息。
日本警視庁サイバーセキュリティ対策本部呼吁做好应用 PHP 修复的准备。
日本IPA（情報処理推進機構）盘点 PHP 的使用情况（含产品和设备内置），停止使用已停止维护的版本，修复发布后尽快应用。
美国NSA Cybersecurity使用 PHP 的组织应立即更新；无法更新时考虑将受影响服务下线。
英国NCSC8 项优先行动：盘点 PHP、升级、加固；无法缓解时下线服务并排查后门。
欧盟CERT-EU立即打补丁；无法打补丁则隔离对外应用。临时措施只能降低暴露，只有升级才是完整修复。
德国BSI补丁发布前预警：可能存在无需认证的远程代码执行；当时未确认有利用。
法国CERT-FR (ANSSI)警报公告：隔离受影响系统并迁移到受支持版本；临时绕过措施未经 CERT-FR 验证。
西班牙INCIBE-CERT「严重」：列出修复版本和 7.4/8.0/8.1 源码补丁；临时措施不是完整方案。
瑞士BACS / NCSC.ch立即更新，并检查内置 PHP 的内部系统、管理界面和设备。
荷兰NCSC-NL发布公告并维护内置 PHP 的受影响产品清单，被 CERT-EU 和英国 NCSC 引用。
波兰CERT PolskaPHP 存在可远程执行代码的严重漏洞，请立即更新。
美国FBI Cyber Division无法立即更新就下线；盘点 PHP，监控 PHP 进程异常拉起 shell，失陷后向 IC3 报告。
加拿大Canadian Centre for Cyber Security（原文未核实）建议升级到修复版本。

均于2026年10月21日发布。

下一步做什么？

  1. 用 PHP2Shell 检测 确认网站用的 PHP 是否在受影响范围。
  2. 按环境看 PHP2Shell 修复。
  3. 来不及升级，先做 临时缓解。
  4. 升级后做一次 网站被黑检测。

依据哪些来源？

检测你的 PHP 是否受 PHP2Shell 影响

输入网站使用的 PHP 版本，我们会和该分支的首个修复版本比较，并告诉你下一步怎么做。

PHP2Shell 检测工具 →

来源

本页的核心事实（修复版本、CVE 详情、发行版软件包、官方机构的提醒）都来自官方来源；研究报告、新闻和社区讨论已分别标注。