昨天（2026年10月21日），PHP 安全团队紧急发布了一批补丁，修复了两个被评为“严重”级别的远程代码执行漏洞。这两个漏洞被统称为 “PHP2Shell”，由于它们在补丁发布前就已泄露，且潜在影响范围极广，全球多个网络安全机构都发布了紧急警报。

漏洞概览

这两个漏洞的编号分别为 CVE-2026-109618 和 CVE-2026-109619，在 CVSS v4.0 评分体系中均获得了 9.2 的高分（满分 10 分）。

它们属于未认证的远程代码执行漏洞。这意味着攻击者无需登录或经过任何身份验证，就有可能通过构造恶意请求，在受影响的服务器上执行任意代码，进而控制该服务器或窃取数据。据安全公司 watchTowr 确认，这些漏洞真实存在，且影响可能追溯到 PHP 5 及以后的广泛版本。由于 PHP 是 WordPress 等大量主流网站和应用的底层技术，全球有极高比例的网站面临潜在风险。

解决方案

唯一的解决方案是立即升级 PHP 版本。

PHP 官方已在 2026 年 10 月 21 日的紧急更新中修复了这些漏洞。你需要根据当前使用的 PHP 分支，升级到以下任一安全版本：

如果你使用 PHP 8.5.x，请升级至 8.5.12

如果你使用 PHP 8.4.x，请升级至 8.4.27

如果你使用 PHP 8.3.x，请升级至 8.3.36

如果你使用 PHP 8.2.x，请升级至 8.2.35

操作建议：

立即确认版本：首先检查你服务器上运行的 PHP 版本。可以通过创建一个包含 <?php phpinfo(); ?> 的临时文件并通过浏览器访问来查看，或在命令行执行 php -v。

优先升级：由于漏洞细节已在补丁发布前泄露，攻击者可能很快就能利用补丁对比来开发攻击工具。因此，在测试兼容性后，应尽快在生产环境中部署更新。

处理旧版本：PHP 8.1 及更早的版本已停止官方支持，不会收到此次常规修复。官方仅为部分旧版本（如 7.4、8.0、8.1）提供了极简的源码级回溯补丁。如果你的系统仍运行在这些旧版本上，强烈建议借此机会规划升级到受支持的版本，否则将面临持续的安全风险。

临时缓解措施有限：官方安全公告指出，目前没有通用的配置修改可以规避这两个漏洞，打补丁是唯一完整的缓解方式。虽然某些临时规则（如禁用 session.upload_progress 或限制多部分表单请求）可能增加攻击难度，但它们并非可靠的修复方案，且可能影响正常的文件上传功能。

鉴于漏洞的严重性，建议在完成升级前，密切关注服务器日志，留意异常请求。