安全漏洞·严重

PHP2Shell：PHP 中的两个严重漏洞

已有修复攻击者已在利用影响网站站长

PHP

对你有什么影响

部分政府网站出于预防已下线。

PHP 是大量网站背后的编程语言。它修复了两个漏洞，攻击者只需一次请求就能接管 Web 服务器。多国政府出于谨慎让网站下线；访问者无需操作，网站所有者必须立即更新 PHP。

开始于 2026年10月20日更新于 2026年10月23日

我该怎么办？

你: 无需操作。部分政府网站可能会离线一段时间。
如果你运营网站或应用: 请把 PHP 更新到 8.5.12、8.4.27、8.3.36 或 8.2.35（或你所用发行版的已修复软件包，请查看其更新日志中的 CVE 编号），并重启所有 worker。PHP 8.1 及更早版本不会获得官方修复。session.upload_progress.enabled=0 之类的缓解措施只能降低风险，更新才是唯一的彻底办法。

CVE-2026-109618 CVE-2026-109619严重程度评分 9.2 分（满分 10 分）

已有修复 · 2026年10月23日
Cloudflare 把规则扩展到一个相关的 PHP 会话上传进度问题，即 CVE-2026-115560。
Cloudflare
已有修复 · 2026年10月21日
包括德国、芬兰、比利时、荷兰和法国在内的多个国家的政府网站出于谨慎被下线。
Australian Associated Press
已有修复 · 2026年10月21日
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 和 CVE-2026-109619。所有处理 Web 请求的 PHP 安装都受影响；使用 Apache mod_php 时风险最高。
php.net
已缓解 · 2026年10月21日
Cloudflare 自 UTC 03:02 起，在包括免费版在内的所有套餐上启用针对这些漏洞的 WAF 规则，并报告在细节泄露后出现针对其客户的攻击流量。
Cloudflare
已定位 · 2026年10月20日
PHP 宣布将于 10 月 21 日发布一个严重安全版本，修复两个 CVSS v4.0 评分为 9.2 的漏洞。
php.net