PHP2Shell 高危 RCE 漏洞详解，Wordpress、织梦DEDCMS等Php类CMS风险梳理与替代选型

2026年10月21日，PHP 官方紧急披露两个高危远程代码执行漏洞：CVE-2026-109618、CVE-2026-109619，业内代号 PHP2Shell，CVSS 评分均为 9.2 分，属于严重级别漏洞。目前安全厂商已经监测到该漏洞存在在野利用，黑客正在对公网 PHP 站点批量扫描攻击。

和以往 CMS 漏洞不同：本次漏洞根源在 PHP 解释器内核，攻击者构造特制 multipart POST 请求，无需账号密码、不用登录后台，在特定条件下即可触发内存破坏，实现远程代码执行，直接拿下服务器权限，窃取数据、植入后门、横向渗透内网腾讯云。 最关键的一点：漏洞触发发生在业务代码运行之前，网站后台权限校验、表单过滤、普通应用层 WAF 规则很难拦截攻击。哪怕你的 CMS 代码写得再规范、常年打程序补丁，只要 PHP 版本没达标，风险依旧存在。

一、受影响 PHP 版本清单、影响范围从 PHP 5.4 一直到 8.5，波及面极广

✅ 安全版本（修复完成）

PHP 8.2.35 及以上

PHP 8.3.36 及以上

PHP 8.4.27 及以上

PHP 8.5.12 及以上

❌ 受影响版本

PHP 8.2.x < 8.2.35

PHP 8.3.x < 8.3.36

PHP 8.4.x < 8.4.27

PHP 8.5.x < 8.5.12

PHP 8.1 及更早全部版本，官方早已停止维护，不会出补丁

二、主流 PHP类CMS 风险盘点

只要是 PHP+MySQL 架构的 CMS，运行在上述受影响 PHP 版本上，就会受到牵连，不存在 “CMS 本身免疫” 一说，下面列举国内外受影响的CMS。

国内受影响的PHP类CMS：

• 帝国 CMS（EmpireCMS）
• 织梦 DedeCMS
• 迅睿 CMS（Xunruicms）
• 蝉知 Chanzhi
• PHPCMS
• 极致 CMS
• Z-BlogPHP、Typecho
• Discuz!、Discuz! Q 论坛系统
• 齐博 CMS
• 其他基于ThinkPHP框架开发的小众CMS

国外受影响的PHP类CMS：

• Wordpress、国内大量中小企业在使用
• Drupal
• Joomla
• 其他基于Laravel 框架开发的CMS

三、应急处置方案（优先级排序）

方案 1：首选，升级 PHP 到安全版本 操作步骤：

1. 升级前完整备份网站文件 + 数据库；
2. 将 PHP 升级到对应分支安全版本；
3. 上线后全功能测试，重点测试上传、后台、伪静态；
4. 服务器、WAF 日志持续监控异常 POST 请求。

方案2：长期架构优化，脱离 PHP 栈规避同类底层风险

1. 长期架构优化，脱离 PHP 栈规避同类底层风险
2. 如果站点是核心业务、等保要求高。
3. CMS已经停更或长期无维护状态、比如phpcms、齐博、discuz、dedecms这类老旧CMS ，可以考虑更换非 PHP 技术栈 CMS，从根源规避 PHP 内核类漏洞。

下面给大家整理成熟可落地的替代方案：

✅ Java 栈 CMS（政务、门户、等保、信创项目首选）

JeecgBoot CMS 模块：国内主流低代码平台，权限体系完善，适合政务、事业单位门户。

✅ .NET 栈 CMS（高校、机关单位建站选型成熟）

PageAdmin CMS：老牌国产.NET CMS，可视化编辑、表单、站群能力强，国内等保、政府、学校案例非常多，安全级别很高。

✅ 无头 CMS（适合前端自研、小程序、APP 内容后台）

Strapi、Directus：API 优先，不带前端页面，适合开发团队做内容中台。

✅ 静态站点方案（风险最低，无后端脚本执行）

Hugo、VitePress、Hexo，预生成纯静态 HTML，服务器只托管静态文件，几乎不存在 RCE 类漏洞；缺点：不适合会员、评论、动态表单等复杂业务，适合文档站、品牌展示博客。

四、站长自查清单，建议收藏

• 区别CMS是否是Php开发，并查看当前服务器 PHP 版本号
•  梳理公网暴露的 PHP 站点资产（企业站、子站、后台、小程序接口）
• 确认 PHP 是否为 Apache mod_php 部署模式 
• 评估是否可以升级 PHP，提前做好兼容性测试
• 无法立刻升级的业务，添加 WAF 防护、缩小攻击面 
• 老旧或长期停更的Php类CMS，尽快替换到JeecgBoot、pageadmin这类高安全的框架

结尾

PHP2Shell 这一次给所有运维、站长敲响警钟：应用安全，根基在运行环境。很多时候我们忙着修补 CMS 程序漏洞，却忽略了底层语言环境的致命缺陷。 优先升级 PHP，这是成本最低、见效最快的修复方式；

对于大量存量PhpCMS、织梦、齐博这类老站点，除了本次漏洞之外，历史安全债累积严重，有条件可以慢慢向更稳定、持续维护的其他非Php技术栈迁移。