2026年10月21日，PHP官方紧急发布安全公告，披露并修复两个高危远程代码执行漏洞：CVE-2026-109618、CVE-2026-109619，业内统称"PHP2Shell"，综合评级高危，严重程度9.2分。

这不是一次普通的软件漏洞。目前多个安全机构已监测到该漏洞的在野利用，漏洞技术细节与PoC已在互联网广泛传播，多个国家的政务、公共服务类网站被迫紧急下线处置。国家网安通报中心已发布预警，工信部也发布了风险提示。

更关键的是：这一次的漏洞不在任何一个CMS的源代码里，而在PHP语言本身的内核。

简单说，这是两个藏在PHP核心层的内存类漏洞：

CVE-2026-109618（内存耗尽破坏）：

攻击者构造包含大量头部、嵌套字段名或空文件控件的multipart请求，在看似不超过post_max_size限制的情况下耗尽memory_limit，触发内存异常。在Apache mod_php等无条件执行请求关闭过程的SAPI中，关闭过程会处理这些无效状态，进而破坏内存，最终实现远程代码执行。

PHP工作进程可能复用上一个请求遗留的失效状态，攻击者利用这一机制实现未认证的远程代码执行。

两个漏洞的共同点：攻击者无需账号密码、无需登录后台，在特定条件下构造恶意HTTP请求即可触发；而且触发发生在网站业务代码执行之前，常规的CMS权限校验、表单过滤、应用层WAF规则都难以拦截。也就是说，哪怕你的网站程序写得再规范，只要PHP环境没达标，一样暴露在风险里。

PHP 8.2.35及以上、8.3.36及以上、8.4.27及以上、8.5.12及以上

特别提醒：PHP 8.2 将在2026年12月31日停止维护，届时不再有安全补丁，建议有计划地迁移到仍受支持的版本。

本次漏洞位于PHP核心层，影响所有运行在受影响PHP版本上的CMS和框架——包括WordPress、Drupal、Joomla、Laravel，也包括大量国内PHP建站系统。

国内存量巨大的PHP CMS主要包括：

判断标准很简单：只要你的CMS是PHP开发的，并且服务器PHP版本落在受影响范围内，就存在被利用的风险。漏洞不看CMS品牌，只看运行环境。

第一步，也是唯一根治手段：升级PHP。

第二步，临时缓解措施（仅限来不及升级的窗口期，不能替代升级）：

需要强调的是：临时防护存在被绕过的可能，只能作为短期过渡。另外，Apache mod_php部署模式风险最高，php-fpm、php-cgi等SAPI同样存在风险。

06 如果考虑脱离PHP栈：替代方案怎么选

如果你的站点属于核心业务、等保要求高，或者CMS已经停更、PHP版本常年无法升级，可以考虑更换非PHP技术栈的CMS，从根源规避PHP内核类漏洞。

PHP2Shell这一次，给所有运维、站长敲响了警钟：应用安全，根基在运行环境。我们总在忙着修补CMS程序的漏洞，却可能忽略底层语言环境的致命缺陷。

优先升级PHP，这是成本最低、见效最快的修复方式。对于PhpCMS、织梦、Discuz这类存量巨大的老站点，除了本次漏洞，历史安全债已经累积得够多了——有条件，就慢慢向其他PageAdmin、JeecgBoot这类可持续维护的技术栈迁移。

接下来值得观察的是：在野利用会扩散到哪些行业、PHP官方是否会调整维护节奏，以及国内安全机构是否会发布针对性的检测工具。事实还在更新，但"立刻自查、优先升级"这一条，今天就可以做。

2026年10月21日，PHP官方紧急发布安全公告，披露并修复两个高危远程代码执行漏洞：CVE-2026-109618、CVE-2026-109619，业内统称"PHP2Shell"，综合评级高危，严重程度9.2分。这不是一次普通的软件漏洞。目前多个安全机构已监测到该漏洞的在野利用，漏洞技术细节与PoC已在互联网广泛传播，多个国家的政务、公共服务类网站被迫紧急下线处置。国家网安通报中心已发布预警，工信部也发布了风险提示。更关键的是：这一次的漏洞不在任何一个CMS的源代码里，而在PHP语言本身的内核。

2026年PHP2Shell高危漏洞预警：主流国产CMS内容管理系统风险梳理与替代方案

2026 年 10 月 21 日 PHP 曝出两个高危内核 RCE 漏洞 “PHP2Shell”（CVE-2026-109618、CVE-2026-109619），风险评分 9.2，已有在野利用。漏洞无需认证、先于业务代码触发，常规 WAF 和程序过滤难以拦截，多款主流 PHP CMS 均受影响。根治方式是升级 PHP 至安全版本，临时防护手段存在绕过风险，高安全业务可考虑迁移至其他技术栈，运维需

安全

2026年10月21日PHP官方发布紧急安全公告，修复CVE-2026-109618和CVE-2026-109619两个高危远程代码执行漏洞（统称"PHP2Shell"），综合评分9.2分。漏洞影响PHP 8.1及更早全部版本至8.5.12以下版本，攻击者无需认证即可利用，多个政务网站已被迫下线。建议立即升级至8.2.35、8.3.36、8.4.27或8.5.12及以上版本。

安全补丁

数据库

服务器

WordPress

PHP语言

Drupal

Java

2026上云采购 | AI焕新·智启新局

tools

weda

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

2026年10月21日PHP官方发布紧急安全公告，修复CVE-2026-109618和CVE-2026-109619两个高危远程代码执行漏洞（统称"PHP2Shell"），综合评分9.2分。漏洞影响PHP 8.1及更早全部版本至8.5.12以下版本，攻击者无需认证即可利用，多个政务网站已被迫下线。建议立即升级至8.2....

2026年PHP2Shell高危漏洞预警：主流国产CMS内容管理系统风险梳理与替代方案

2026年PHP2Shell高危漏洞预警：主流国产CMS内容管理系统风险梳理与替代方案

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐