目录

PHP的两个严重漏洞（CVE-2026-109618、CVE-2026-109619）可能导致远程任意代码执行，CVSS v4.0评分均为9.2。修复版本计划于2026年10月21日23时（日本时间）发布。请提前做好准备，以便发布后迅速更新受影响的PHP环境。

要点#

  • 这些漏洞被称为“php2shell”，可能涉及内存损坏和会话管理。
  • PHP开发团队计划于2026年10月21日23时（日本时间）发布修复版本。
  • session.upload_progress.enabled=0 可作为候选缓解措施，但预计无法完全阻止攻击。
  • 请在补丁发布前梳理PHP使用环境、更新步骤及更新后的功能验证方法。

目前已知的信息#

根据公开信息及GMO Flatt Security的调查，此次问题疑似涉及PHP会话管理中的内存损坏漏洞。一旦被利用，可能导致远程任意代码执行。两个漏洞的CVSS v4.0评分均为9.2。

研究人员的帖子展示了在使用mod_php或PHP-FPM的环境，以及WordPress、Laravel、Symfony中复现漏洞的情况。影响范围未必仅限于这些环境。本文信息仍处于初步披露阶段，详细情况需在补丁发布后确认。

首先梳理环境#

确认公司Web服务器和应用程序中哪些地方使用了PHP。除主机环境外，还应涵盖容器和云端服务，并记录PHP版本及运行方式。

逐一确认各环境的PHP更新步骤，以及更新后验证应用程序正常运行的步骤。如果使用E2E测试等方式，也应提前明确负责人和执行方法，以便补丁发布后及时着手更新。

发布前可采取的缓解措施#

文章提到，可通过禁用PHP的Session Upload Progress功能来缓解风险。

settings.ini
session.upload_progress.enabled=0

不过，GMO Flatt Security认为，仅靠此设置可能无法完全阻止攻击。如需应用，请确认目标环境中的配置变更步骤及其对应用程序的影响。根本解决办法是安装修复版本。

为降低影响做好准备#

考虑到紧急更新可能造成短暂停机或连接中断，请确认相关人员的联系方式和操作流程。将服务器内存放的数据控制在必要的最小范围，并重新检查IAM角色、服务账号等的权限。这有助于减少入侵后可能被读取的信息，并降低攻击扩散至其他系统的风险。

同时确认日志是否正常记录并妥善保存。在调查是否遭受攻击及影响范围时，日志缺失或遭到篡改会增加调查难度。

补丁发布后的应对#

PHP开发团队计划于2026年10月21日23时（日本时间）发布修复版本。发布后，请确认当前使用的PHP版本及受影响范围，按照准备好的步骤进行更新。随后验证应用程序是否正常运行。

下一步#

请在今天内列出使用PHP的服务器及其负责人，并逐一确认各环境在补丁发布后的更新和功能验证步骤。

来源: https://blog.flatt.tech/entry/php2shell

目录