近期PHP紧急发布补丁，针对两处高危远程代码执行漏洞进行修复，漏洞源于内存安全缺陷，严重性达CVSS v4.0 9.2级，被命名为php2shell。官方明确表明，自PHP 5.4起未打补丁版本均存在该风险，且无完整缓解措施，更新为唯一安全选择。此次披露暴露出攻击节奏异常：补丁发布前四日就遭利用，针对不同API存在专项验证，同时存在多种发布协调异常。攻击时间早于补丁，漏洞利用可通过多种渠道被发现，部分清理措施难以有效阻断漏洞传播。当前漏洞利用对默认配置系统无效，但PoC存在恶意风险，需谨慎处理。业界对补丁确认与生效存在多种阻碍，发布周期、构建方式及版本追踪均易造成信息偏差。PHP基金会指出安全维护依赖小团队，且后续存在缺失漏洞如CVE-2026-115560。整体来看，PHP漏洞处置面临披露节奏、技术验证及应用适配等多重挑战，行业需强化漏洞监测与安全部署。

--91likeyou---

攻击者比补丁出现得更早。Amazon Threat In 在 MadPot 遥测数据中发现了一起可追溯至 10 月 17 日的漏洞利用尝试。该尝试源自“一个与商业匿名网络相关的 IP 地址”，并建议客户“至少从 10 月 17 日开始”展开调查。Cloudflare 于 10 月 21 日 UTC 时间 03:02 部署了 WAF 规则，比补丁发布时间提前了大约 9 小时。

这种协调披露机制早已崩溃。PHP 基金会在其声明中指出，CVE 标识符比预定时间提前两天开始流传，一名研究人员“误将一段展示概念验证的视频发布了出去”，而且“ Chainguard 单方面打破了保密协议，发布了包含修复程序的构建镜像”。该基金会写道，其后果是“任何攻击者现在都可以研究二进制形式的修复方案，而其他所有 PHP 用户仍在等待正式发布”。Chainguard 公布的政策（最后更新于事件发生前一个月）允许其在“发现漏洞正在被积极利用”时缩短披露时间。

有些运营商宁愿停止服务也不愿坐等。在 r/selfhosted 版块，网友 iamShorteh 描述了其关停网站的过程：

我已经将所有网站下线（关闭了 Apache2）。几小时前，有人在推特上泄露了实现远程代码执行（RCE）的分步指南。我不想冒着风险再等上 5-6 小时，直到热补丁发布。

作为预防措施，荷兰国家网络安全中心将其网站下线，荷兰众议院也采取了同样的措施。Sansec 则告知商家没有必要这样做。

对许多人来说，首要任务是确认 PHP 是否正在运行。评论者们发现 OPNsense、OpenMediaVault、Nextcloud 和 Coolify 背后都运行着 PHP，而评论者 spartacle 则指出了这为何难以确认：

对于相当一部分家庭实验室设备来说，这确实很糟糕，但有许多系统我不知道使用的是什么编程语言，容器技术让我无法看清这一点。

随后便是等待软件包的过程。Debian Trixie 很快就发布了，而 Ubuntu、Red Hat 和官方 Docker 镜像紧随其后。评论者 Takeoded 指出，在漏洞披露十三分钟后，Ubuntu 安全团队仍然未发布任何补丁。在 r/PHP 版块，维护者 Ondřej Surý 收获了最热烈的感谢，他的 Launchpad PPA 因流量过载而瘫痪，运维人员不得不将用户引导至 packages.sury.org——该 PPA 目前正被合并至该站点。有一支团队放弃了 Docker Hub，而是自行根据合并后的 Dockerfile 构建了镜像，仅用了八分钟就完成了。

确认补丁是否生效本身就成了一个新的陷阱。评论者 SirRobinBlibs 列举了那些让人们浪费时间的案例：

发行版构建提供了回溯移植。Ubuntu 24.04 的修复包版本为 8.3.6-0ubuntu0.24.04.13，但仍然显示为 8.3.6。请通过你所用的发行版追踪器来核对完整的包版本，而非使用 php -v 命令。命令行界面（CLI）不是 Web 服务器，如果不重启，FPM/Apache 工作进程会将旧引擎保留在内存中。

Ubuntu 的安全公告证实了这些版本字符串。两份 PHP 安全公告均建议运维人员在更新后重启所有工作进程。

该漏洞的实际危害程度尚且存在争议。这两个 CVE 均标注了 AC:H 和 AT:P，即攻击复杂度高且存在额外的攻击要求；Sansec 也修正了他们对于漏洞被大规模利用的预期：

已公开的漏洞利用代码对采用默认配置的 PHP 安装无效。

安全从业者也发现了同样的情况。SirRobinBlibs 警告，不要使用 GitHub 上的概念验证（PoC）进行测试，因为“大多数被点赞的 PoC 在原生 PHP 上无法运行，而且要小心，恶意 PoC 仓库是存在的”。JFrog 记录了作为恶作剧传播的虚假 PoC，其中包括一个会更改受害者桌面壁纸的 PoC。

r/PHP 版块的评论者询问有多少人负责这项工作。PHP 基金会在帖子下面回应称，PHP 的安全工作“仍然依赖于一小群由基金会资助的开发者”，并且“目前这群人数量太少”。

这一升级断层成了该帖子中获赞最多的评论。该评论称，PHP 的终止支持政策十分严苛。PHP 8.1 及更早版本已经不在项目的支持范围之内，尽管项目组曾为 7.4、8.0 和 8.1 发布了最基本的回溯补丁，而 Ubuntu 甚至在 ESM 支持下为早至 14.04 的版本发布了修复程序。PHP 8.2 支持将于 2026 年 12 月 31 日终止。

第三个问题是 CVE-2026-115560 目前仍未修复。PHP 基金会建议，在下一个 Bug 修复版本发布之前，将 session.upload_progress.enabled 设置为 0。到那时，他们会发布完整的安全公告。

：

🔥 热词：#PHP远程代码执行高危漏洞对我国的影响大吗 · #关于PHP远程代码执行漏洞的提示 · #关于PHP存在远程代码执行漏洞的安全公告 · #php远程执行漏洞怎么查看和修复 · #PHP远程代码执行漏洞升级 · #php远程代码执行漏洞其他语言做软网关 · #php远程代码执行漏洞升级包 · #php远程代码执行漏洞有哪些