什么是 PHP2Shell？
PHP2Shell 指 PHP 核心中的两类相关内存安全漏洞：CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 均为 9.2。研究人员演示了未认证远程代码执行和进程内存泄露。PHP 于 2026 年 10 月 21 日发布修复。漏洞位于解释器本身，不属于某个特定插件或 CMS。
哪些安装需要处理？
PHP 官方建议更新所有处理 Web 请求的安装，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。WordPress、Drupal、Joomla、MediaWiki、Laravel 和自研应用均继承底层运行时风险。只更新应用无法替换 PHP。还应盘点设备管理界面、测试站、容器和嵌入式产品中的 PHP。
PHP-FPM 可以豁免吗？
不可以。两个漏洞在不同 SAPI 中的利用条件不同。FPM 在请求启动失败时终止子进程，可阻止部分启动阶段的序列，但不消除应用执行阶段及跨请求路径。既不要认为所有架构都与 mod_php 演示完全一致，也不能据此省略 FPM 补丁。
PHP 8.1 及更早版本
这些分支没有常规 PHP 官方更新。本次例外提供 7.4、8.0、8.1 的最小源码回移植，构建及验证由运营者负责。发行版或 LTS 厂商可能提供维护包。研究报告涉及最早 PHP 5.4，不同路径条件不同。应迁移到受支持分支，并核实过渡期间的厂商补丁。
用通俗的话理解 PHP2Shell
PHP 是网站的运行引擎，WordPress、Laravel 和插件运行在它上面。更新插件不等于更新 PHP。这两个运行时内存安全漏洞可能让异常请求清理演变成信息泄露或代码执行。公开网站检测只能寻找线索，实际 Web 运行时和补丁必须由主机商或管理员确认。
PHP2Shell 工具箱 →不同 PHP 运行时的已知证据
| 运行时 | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | 已演示远程代码执行 | 已演示远程代码执行 |
| PHP-FPM | 存在应用相关风险；尚未演示此 CVE 的完整 FPM 利用 | 通过合适的应用路径已演示远程代码执行 |
php-cgi、FrankenPHP 和 LiteSpeed 也需更新。PHP 官方建议更新所有提供 Web 服务的安装。此表区分已演示的利用路径与一般暴露范围。