PHP2Shell 漏洞是什么？网站经营者、网购用户与加密资产持有者该注意什么

看到“网站底层软件出现严重漏洞”，最容易产生两个误解：一是以为所有网站都已失守，二是以为用户需要自行下载某种修复工具。PHP2Shell 的处理重点恰好相反：运营者要查清服务器由谁维护，普通用户则要分辨正式通知和借机行骗的信息。

这次紧急更新解决什么问题？

2026 年 10 月 21 日，PHP 针对 CVE-2026-109618 和 CVE-2026-109619 发布安全更新。这两项被称为 PHP2Shell 的严重漏洞，可能让未登录的攻击者远程执行代码，但不能据此推断所有使用 PHP 的网站都遭到了入侵。

欧洲网络安全机构的联合声明 要求组织排查 PHP 应用、联系服务商并安装更新。暂时无法修复时，应考虑将暴露的系统与公网隔离。因此，主动暂停服务与被攻击导致宕机，不应混为一谈。

为什么换个页面或更新插件还不够？

PHP 可以在服务器上处理订单、查询资料，再把结果交给浏览器。即使店主从未写过代码，也可能通过建站公司、托管服务或某套业务软件间接使用它。

第一项漏洞 涉及内存不足时的处理错误，第二项 则涉及内存释放后仍残留的内部状态。攻击能否成功取决于具体环境，不能仅凭网页正常打开、页面简单，或某一种部署方式就认定无风险。

哪些版本已经包含修复？

PHP 项目公告 列出的修复版本如下。应采用含补丁的版本、维护中的后续版本，或服务商明确确认已回移植修复的安装包。

发行版可能保留原有版本号，再把安全修复加入安装包。不要只凭控制面板上的数字判断，应索取对应厂商公告。旧版本与回移植补丁的注意事项，可参考 多伦多大学的安全指引。

给主机商的核查清单

首先确认责任人：谁维护服务器，谁有权限更新，谁负责验证结果。只收到一句“已经更新网站”，还不足以说明完成了哪一层的工作。

• 列出正式网站、管理后台、子域名、测试环境及相关接口。
• 确认使用了哪个修复安装包，以及对应的厂商公告。
• 确认已重启相关服务，实际处理请求的进程已经加载修复。
• 询问是否检查过日志、异常文件和可疑改动。
• 明确出现异常后，谁负责隔离、保全证据和恢复业务。

多伦多大学的核验建议 特别区分了修补漏洞与调查入侵。补丁不会自动清除此前可能留下的恶意程序，两个步骤都需要有人负责。

致 SIAMBC 用户

目前没有确切信息表明 SIAMBC 受到此次漏洞影响。

网购和持币用户怎样应对？

不要因为陌生人发来“PHP 紧急修复”链接，就下载文件或输入账户资料。修补商家服务器不是顾客的任务。涉及自己的账户时，主动打开官方网站或应用核实通知。

修复 PHP 不需要你的钱包助记词。有人借此要求连接钱包、提交恢复词或签署不相关交易，应先停下来核实，而不是按对方催促操作。

也不要把不同防护混为一谈：服务器靠修补软件降低漏洞风险，账户靠合适的登录保护，硬件钱包则用于管理密钥与签名。硬件钱包不能替网站打补丁，也不能让每一笔获准签署的交易自动变安全。

10 月 23 日还有一项补充通知

PHP 随后发布的通知 针对一种不常见的配置与代码组合，建议在下一次常规修复发布前设置 session.upload_progress.enabled=0。此前已经关闭的应保持关闭，并单独跟进 CVE-2026-115560。补充通知不是跳过 10 月 21 日安全更新的理由。

常见疑问

WordPress 显示最新版本，就可以放心了吗？

还要确认服务器的 PHP。网站程序与运行它的软件，是不同的更新对象。

所有人都要马上改密码吗？

漏洞公告本身不证明你的密码泄露。应关注服务商的正式事件通知和异常登录提醒，需要改密时从官方入口操作。

网址有 HTTPS，能证明打过补丁吗？

不能。连接加密与服务器的软件版本，是两回事。

今天最值得做的一件事是什么？

经营者应找到明确的维护责任人并索取修复依据；用户则应核实消息来源，不向“紧急协助修复”的陌生人交出秘密。

信息来源

• PHP: Security advisory / October 2026 updates
• CVE-2026-109618 · CVE-2026-109619
• ENISA · University of Toronto
• Post Today · TechTalkThai

资料核查日期：2026 年 10 月 23 日。后续请以项目及服务商的新公告为准。

PHP 标志由 Colin Viebrock 设计，取自 PHP.net，依 CC BY-SA 4.0 使用。标志未改形，仅加入新的画面构图；合成封面亦按同一许可发布，不代表 PHP 项目认可或背书。 PHP.net · CC BY-SA 4.0