成功案例 successful case

2026 年 10 月 21 日，全球使用最广泛的网站开发语言 PHP 迎来一次"深夜警报"：PHP 官方安全团队当日发布四个修复版本——PHP 8.5.12、8.4.27、8.3.36 与 8.2.35，一次性封堵两个可被未认证远程利用的严重漏洞 CVE-2026-109618 与 CVE-2026-109619。两个漏洞的 CVSS 4.0 评分均为 9.2 分（Critical，严重），安全社区已将这对漏洞命名为"php2shell"——意为一个普通的 HTTP 请求就可能换来服务器的 Shell。

几乎在同一时间，国家信息安全漏洞共享平台（CNVD）收录了该漏洞（编号 CNVD-2026-41674、CNVD-2026-41675），综合评级为"高危"，并明确指出漏洞技术细节与概念验证代码（PoC）已广泛传播，建议受影响用户立即升级。加拿大网络安全中心、瑞士 NCSC、欧盟 CERT-EU 与 ENISA 等境外机构也于 10 月 21 日当天发布紧急通告，措辞罕见一致：立即更新。

作为一家总部位于郑州的网站建设公司，我们认为这条新闻与每一家郑州企业的网站都直接相关：只要你的网站跑在 PHP 上（WordPress、各类 CMS、商城系统、ThinkPHP/Laravel 应用），且使用的是受影响版本，你的服务器就可能在不被登录、不输密码的情况下被远程控制。

一、两个漏洞到底有多严重？

先看官方披露的技术细节。

CVE-2026-109618：内存超限（OOM）引发的内存破坏。PHP 通过内存上限（memory_limit）限制单个请求的内存占用，一旦超限就强制中断请求。问题在于，如果请求恰好在"解析到一半"的时刻被中断（例如正在解析一个基于表单的文件上传），PHP 内部会残留一份"只初始化了一半"的数据；随后的请求清理逻辑却会把这份无效数据当作有效数据处理，尝试释放一块从未被正确初始化的内存——而这块内存里可能还留着攻击者在早前请求中埋入的内容。在 Apache + mod_php 组合下，攻击者无需任何身份验证，甚至在网站的任何一行业务代码执行之前就能触发该漏洞；PHP 官方确认在默认配置下即可完成完整的远程代码执行。在 PHP-FPM 下，也可经由应用层代码路径确认利用。

CVE-2026-109619：跨请求的"脏状态"（Use After Free，CWE-416）。PHP 的一个致命错误可能让某个请求的内部状态在其内存已被释放后依然存活；随后同一工作进程处理下一个请求时，就可能直接使用这份已被释放的"陈旧状态"。官方已确认其可造成 Use After Free 与工作进程崩溃，漏洞报告者还在一个运行于 Apache + mod_php 的真实应用上演示了完整的远程代码执行。

两个漏洞都位于 PHP 内核中几乎每个请求都会经过的环节——内存管理与错误处理。这正是 PHP 基金会官方博客所称"核心位置决定了它们的严重性"的原因：修复它们如同给飞行中的飞机换发动机，既要堵住漏洞，又不能破坏兼容性、拖慢性能，或逼迫整个第三方扩展生态跟着改。

二、哪些版本、哪些产品受影响？

受影响版本（来自 PHP 官方与 CNVD 公告）：

PHP 8.2.35 之前的 8.2.x 全部版本
PHP 8.3.36 之前的 8.3.x 全部版本
PHP 8.4.27 之前的 8.4.x 全部版本
PHP 8.5.12 之前的 8.5.x 全部版本

修复版本即 8.2.35、8.3.36、8.4.27、8.5.12。需要特别说明的是：PHP 8.1 及更早分支已停止官方更新，但 PHP 安全团队为自行编译源码的机构提供了 7.4/8.0/8.1 的最小化源码补丁；使用 Linux 发行版软件源或 LTS 商业支持的用户，应向供应商确认是否已提供向后移植的安全更新——大版本号没变，不代表补丁没打上；补丁有没有生效，以供应商发布的安全信息为准。

运行模式上，凡是对外提供 Web 请求的 PHP 运行环境均在影响之列：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 无一例外，其中 PHP 官方认为 Apache + mod_php 的风险最高。

而由于 PHP 是大量 Web 产品"背后的事实标准"，主流 CMS 与框架同样暴露在该漏洞之下：WordPress、Drupal、Joomla、Magento、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart……也就是说，即使你自认"没有直接用 PHP 写代码"，只要服务器上跑着这些产品，同样需要打补丁。加拿大与瑞士的安全机构还特别提醒：嵌入式设备、内部管理系统、托管平台、容器镜像里"藏着"的 PHP 同样要排查，很多运营方并不知道自己的产品后台跑着 PHP。

三、此刻正在发生什么：PoC 已流传，利用随时可能出现

综合 CNVD、CERT-EU 与加拿大网络安全中心的信息：目前漏洞技术细节与 PoC 已公开传播，"尚未观察到主动利用"的表述随时可能改变。对国内企业而言，真正的风险窗口不是"漏洞公布"，而是"公布之后的 72 小时"——历史上几乎所有高危漏洞的大规模扫描与利用都集中在补丁发布后的数天内。这也解释了为什么 CNVD 用了"立即升级"这样罕见的措辞。

值得记录的背景是：这两个漏洞的修复之路并不轻松。据 PHP 基金会披露，2024 年 PHP 接受了 Quarkslab 公司近年来首次外部安全审计，CVE-2026-109618 的苗头正是在修复审计报告问题的过程中被一位基金会签约的核心开发者发现的。由于修复方案牵一发动全身，PHP 安全团队在"共识制"下长期难以抉择，修复工作一度反复停滞——基金会在博客中坦承这是"一次结构性失败"。此后 PHP 基金会成立了生态安全团队，并引入 AI 辅助漏洞扫描与验证工具，PHP 的安全治理正在补课。这也提醒我们：开源基础设施的"免费"背后，需要持续的资金与专业投入来兜底。

四、郑州企业现在该做什么？一份"今夜就能执行"的自查清单

基于官方与各国安全机构的建议，卫民网络为郑州的企业网站用户整理了一份操作清单：

先查版本，再谈升级。登录服务器执行 php -v，或通过宝塔面板等运维工具查看当前 PHP 版本号，对照上文版本区间判断是否受影响。
联系你的建站公司与主机商。如果你不知道网站在哪台服务器、跑的什么 PHP 版本，把这篇转给负责你的人——虚拟主机、云服务器、SaaS 建站、小程序后台，都在排查范围内。
升级到修复版本，并重启服务。升级 PHP 到对应分支的修复版本后，必须重启 PHP-FPM/Apache 等常驻进程；使用 Docker 等容器部署的，需要重新构建并部署镜像。升级后还要用 php -v 或 phpinfo() 复核"实际运行"的版本——配置文件改对了，不等于进程真的加载了新版本。
不能立刻升级的，先做风险隔离。将对外应用与公网临时隔离、关闭上传进度条（session.upload_progress）、在 Nginx/Apache 或前置代理层临时限制 multipart 请求，或按官方方案将 memory_limit 设为应用无法覆盖的 -1。这些只是缓解措施，不能替代升级；Web 应用防火墙（WAF）单独使用也不足以防护。
升级之后，查日志、查后门。回顾近期 Web 访问日志中的异常请求与报错，检查站点目录是否有新增的可疑文件、异常计划任务与可疑外联。补丁只能防未来，补不了已经被攻破的过去。

五、写在最后：安全是网站建设的"地基"，不是"装修"

在郑州做了多年网站建设，我们见过太多企业把网站当成"做完即完工"的静态名片：域名到期没人续、程序版本三五年不更新、后台密码多年不变。PHP 这次的两个漏洞再次说明了一个朴素的道理——网站的安全水位，取决于最短的那块木板：PHP 内核、CMS 版本、插件、服务器配置、备份策略，任何一环失守，都可能让多年积累的客户数据与品牌信誉一夜清零。

给客户交付的每一个网站，我们都按"高标准、高质量"来收尾：上线前的版本核查、环境加固、备份与应急方案，交付时一并交底。

如果你的网站需要一次彻底的安全体检，可拨打卫民网络 7×24 小时售后热线 400-671-2014，或通过 zzpaas.com 官网留言，我们将协助你完成版本核查与环境加固建议。

今夜，请把 php -v 的结果发给你身边最懂技术的那个人。在漏洞被大规模利用之前，这就是最有价值的一次转发。

信息来源（供核查）：