好慌啊，好怕被攻击了

高启强 (UID: 1731) 4小时前 [复制链接]

帖子链接已复制到剪贴板

帖子已经有人评论啦，不支持删除！

157 1

PHP 官方於 2026 年 10 月 21 日緊急釋出安全性更新，修補了。這兩項被暱稱為「PHP2Shell」的漏洞屬於遠端程式碼執行（RCE）漏洞，CVSS 評分高達 9.2 分，攻擊者可不需登入直接在伺服器上執行惡意指令。

漏洞核心資訊

漏洞編號：CVE-2026-109618、CVE-2026-109619（PHP2Shell）

嚴重程度：CVSS 9.2 / 10（重大等級）

影響範圍：全球約有 70% 至 75% 使用 PHP 技術的網站，包括 WordPress、各國政府機關、電商平台及線上遊戲等。

成因：研究人員發現 PHP 存在「釋放後記憶體」（Use After Free）安全缺陷，由 AI 模型與資安團隊共同揪出並通報。

這次爆發的「」雙重遠端程式碼執行漏洞（CVE-2026-109618、CVE-2026-109619），其風險範圍幾乎涵蓋了所有主流與歷史的 PHP 版本。

由於這項漏洞存在於 PHP 的底層運行引擎，受影響的具體範圍如下：

🚨 處於風險中（受影響）的版本

所有未修補的舊版本：包括 PHP 5.x、PHP 6.x、PHP 7.x 完整世代，以及追溯到早期的 PHP 5.4 系列。 [1, 2]
未更新的 8.x 版本：
- PHP 8.2（低於 8.2.35）
- PHP 8.3（低於 8.3.36）
- PHP 8.4（低於 8.4.27）
- PHP 8.5（低於 8.5.12）

(註：由於 5.x 到 7.x 世代以及 PHP 8.1 之前的版本早已宣布「生命週期結束 (EOL)」，官方並不會為這些舊版本釋出正式修補程式。) [

🛡️ 安全（已修補）的版本

PHP 官方已於 2026 年 10 月 21 日緊急發布以下唯一安全的修正版本，只有升級到這些版本（或更高）才不受此漏洞威脅：

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

💡 核心提醒

因為此漏洞是在底層解析 HTTP 請求時（如 multipart POST 請求）就直接觸發，不論你使用的是 Apache 的 mod_php、PHP-FPM、php-cgi 還是 FrankenPHP 均會受到波及。單純更新 WordPress 主題、外掛或網站程式碼是完全無法阻擋此攻擊的。

这家伙太懒了，什么也没留下。