如果你公司的网站或网店运行在 WordPress、Magento、Laravel 或任何其他基于 PHP 的系统上，请今天就让主机商或技术团队把 PHP 更新到 8.5.12、8.4.27、8.3.36 或 8.2.35 版本，然后重启服务器。PHP 项目于 2026 年 10 月 21 日发布了这些版本，修复两个名为 PHP2Shell 的严重漏洞，每个漏洞的评分都是 9.2 分（满分 10 分），攻击者无需任何密码就能在你的服务器上执行命令。沙特国家网络安全局（NCA）当天发布了「严重」级别警报，建议立即更新；多家安全公司在修复发布前几个小时就已发现利用尝试。

到底发生了什么？

这两个漏洞的编号是 CVE-2026-109618 和 CVE-2026-109619，它们存在于 PHP 语言本身，而不是某个插件或主题中。这正是关键区别：在我们之前关于WordPress 修复反而成了攻击者地图的文章中，问题出在运行于 PHP 之上的软件里。而这一次，问题出在所有这些软件赖以运行的基础上。所以，即使 WordPress 是最新版本、插件很少，也无法保护你。

根据PHP 的第一份安全公告，第一个漏洞出现在请求准备过程中内存耗尽时，PHP 会留下初始化了一半的数据，之后又把它们当作有效数据处理。根据第二份公告，另一个漏洞会在前一个请求的数据被释放后仍然保留对它的引用，同一进程中的下一个请求就会使用这些数据。两种情况的结果相同：只需一个精心构造的网页请求，就能在服务器上执行命令。

Wiz Research 借助 AI 模型发现了这些漏洞。其报告称，团队于 2026 年 8 月 19 日发现漏洞，8 月 24 日报告给 PHP 团队，并且自 5.4 以来的每个 PHP 版本都至少受其中一个漏洞影响。Wiz 估计约 70% 的网站运行在 PHP 上。

我的网站受影响吗？

如果网站运行在 PHP 上，且版本低于上述版本，那么很可能受影响。Wiz 演示了在默认配置的 WordPress、Drupal 和 Joomla 上无需认证即可远程执行代码。Sansec 在其分析中将名单扩大到 11 个平台，包括 Magento 2.4.9、WordPress 7.1.2、Laravel 13.11、Symfony 8.1、phpMyAdmin、Nextcloud 和 WHMCS。

要查看你的 PHP 版本，请打开主机控制面板（cPanel、Plesk 或类似面板），查找「PHP Version」，或者询问你的团队。注意两点：

  • 8.1 及更早版本已停止支持，不会收到任何修复。根据PHP 支持版本表，目前仅支持 8.2、8.3、8.4 和 8.5 分支。
  • 8.2 分支本身的安全支持将于 2026 年 12 月 31 日结束，也就是两个半月之后。如果现在就要更新，建议直接升级到 8.4 或 8.5，免得很快又要再升级一次。

今天该做什么：五个步骤

  1. 找出所有运行 PHP 的地方。 网站、网店、管理后台，以及任何内部系统或客户门户。很多公司会忘记一个仍在线的旧网站。
  2. 更新到已修复的版本。 8.5.12、8.4.27、8.3.36 或 8.2.35。如果使用共享主机，请书面询问主机商：你们是否已应用 10 月 21 日的更新？
  3. 更新后重启 PHP。 PHP 公告指出，未重启的进程仍在运行旧代码，所以仅下载更新是不够的。
  4. 如果你的网站使用 8.1 或更早版本， 请在本周安排升级，并先在测试副本上验证，因为一些旧插件可能无法运行。
  5. 检查日志。 Wiz 建议排查异常的上传请求及随后出现的内存不足错误、反复出现的 HTTP 500 错误，或过大、格式异常的会话 Cookie（PHPSESSID）。

如果今天无法更新

PHP 公告提出了一些临时措施，可以降低风险，但不能代替更新：将 session.upload_progress.enabled 设为 0 以关闭它，并重启所有进程；在 8.5 版本上将 fatal_error_backtraces 设为 0。如果你的网站从不接受文件上传，也可以在前端服务器上拦截 multipart 请求。

如果你的网站在 Cloudflare 后面，该公司在其博客中表示，已于 10 月 21 日 UTC 时间 3:02 起部署针对这些漏洞的防火墙规则，比公开披露早约 9 个小时，覆盖包括免费版在内的所有套餐。但 Cloudflare 自己也建议，即使有这层保护也要更新 PHP，因为攻击者在不断改变攻击载荷。

Origami 的观点

这个漏洞提醒我们，网站安全并不止于更新 WordPress 和插件。每个网站底下都有编程语言、服务器和配置，都需要有人持续跟进。我们在企业中常见的情况是：网站几年前建好后，已经没有人知道它运行的是哪个 PHP 版本，也不知道谁有权限更新它。如果你也是这种情况，问题就不再是「要不要更新？」，而是「今天由谁来更新？」。Origami 构建网站和系统，并从第一天起跟进它们的更新。如果你想检查网站，或在不停机的情况下升级 PHP，请联系我们.

来源