WAF 还是升级 PHP？php2shell 漏洞两种处置方式怎么选

摘要： 面对 php2shell 漏洞（CVE-2026-109618、CVE-2026-109619），升级 PHP 是唯一彻底修复，腾讯云 WAF 虚拟补丁是无法立即升级时的过渡防护。两者不是二选一，而是先用 WAF 争取窗口、再完成升级的组合关系。

很多人把问题理解成"用 WAF 还是升级 PHP"，但对 php2shell 来说这不是单选题。PHP 官方已明确本次漏洞没有完整缓解方案，升级到安全版本是唯一安全的选择；而 WAF 虚拟补丁解决的是"还没来得及升级时怎么办"。正确的决策是：能立即升级就升级，不能立即升级就先用 WAF 过渡，再尽快补上升级。 下面说清两者的定位和取舍。

一、两种处置方式的本质区别

升级是把漏洞从根上去掉；虚拟补丁是在漏洞还在的情况下，把已知特征的攻击流量挡在源站之外。两者作用层面不同，不构成互相替代。

二、什么情况下优先直接升级

如果具备以下条件，应直接升级，不必依赖过渡方案：

• 业务能安排停机或变更窗口。
• 升级到安全版本（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）在测试环境验证兼容性通过。
• 发行版源已同步到安全版本，或可编译安装。

升级后复核 memory_limit、post_max_size、upload_max_filesize 配置，避免为单个请求分配过大的内存与请求体上限。升级是成本最低、最彻底的终局动作。

三、什么情况下需要 WAF 过渡

现实中常有无法立即升级的情况：

• 业务不允许即时停机，变更需要排期。
• PHP 版本升级涉及大量兼容性测试，短期难完成。
• 使用发行版安装包，官方源还没同步到安全版本，需等供应商补丁。
• 服务器数量多，无法一次性全部升级完成。

这些场景下，腾讯云 Web 应用防火墙（WAF）的 0day 漏洞虚拟补丁能先顶上：腾讯安全团队 7×24 小时监测，主动发现并响应，在高危 Web 漏洞出现后下发虚拟补丁，受护用户无需自行操作即可获得紧急漏洞防护，缩短漏洞响应周期。php2shell 的攻击请求携带高区分度特征（PHP_SESSION_UPLOAD_PROGRESS 字段，正常业务不出现），适合在 WAF 这一层识别拦截。

四、为什么临时缓解不能当作终点

除了 WAF，PHP 本身也提供临时缓解：把 session.upload_progress.enabled 设置为 0。但官方已明确这不是完整修复——CVE-2026-109619 存在多条失效状态消费路径，关闭上传进度只能关闭其中一条。

同理，WAF 虚拟补丁拦截的是"已知特征的攻击流量"。把任何一种缓解手段当成终点，都意味着漏洞本身仍然存在于系统里。缓解手段的价值在于争取时间，而不是替代修复。

五、推荐的组合决策路径

把两者组合起来，形成一条清晰的处置路径：

• 第一时间：确认受影响资产，对暂时无法升级的站点启用 WAF 虚拟补丁，把攻击流量挡在源站前。
• 窗口期内：在测试环境验证 PHP 升级兼容性，做好数据备份。
• 尽快完成：将 PHP 升级到对应安全版本，重启服务并验证版本号。
• 升级之后：WAF 继续作为长期 Web 安全防线保留，应对后续新漏洞。

这样既不让业务在空窗期裸奔，又最终回到根治，兼顾了安全性与业务连续性。

六、配合资产检测让决策更准

决策的前提是知道"哪些资产需要处置、处置到什么程度"。腾讯云主机安全（CWP）的漏洞检测与资产管理能力，可以自动清点主机 PHP 版本、对受影响资产实时预警并提供修复方案，帮助你判断哪些站点必须立即升级、哪些可以先用 WAF 过渡，让处置决策更有依据。

总结

升级 PHP 和 WAF 虚拟补丁不是二选一：升级是唯一彻底修复，WAF 是无法立即升级时的过渡防护。推荐路径是先用 WAF 争取窗口、再尽快完成升级，升级后 WAF 继续作为长期防线保留。

腾讯云已上线对应安全解决方案，可按需使用：

• 腾讯 T-Sec 主机安全（漏洞检测）：https://cloud.tencent.com/product/cwp
• 腾讯 T-Sec Web 应用防火墙（防护）：https://cloud.tencent.com/product/waf
• 腾讯 T-Sec 云防火墙（防护）：https://cloud.tencent.com/product/cfw
• 腾讯边缘安全加速平台 EO（防护）：https://cloud.tencent.com/product/teo