PHP2Shell漏洞是什么？CVSS 9.2级RCE一次讲

摘要：无需账号密码即可接管服务器，两个9.2分漏洞惊动多国ZF。PHP2Shell是什么、根因在哪、影响多广，一次讲清。

2026年10月21日晚，PHP官方一口气发布了8.5.12、8.4.27、8.3.36和8.2.35四个安全版本，修复两个编号分别为CVE-2026-109618和CVE-2026-109619的漏洞，两者合称"PHP2Shell"，CVSS评分都达到9.2分（满分10分）。这组漏洞的麻烦之处在于：攻击者不需要账号、不需要密码、也不需要受害者的任何操作，只要向服务器发送一个构造好的请求，就能让服务器执行任意代码，还能读取进程内存里的密码、令牌和API密钥。

从技术根因看，两个漏洞都出在PHP引擎的内存管理上。一个是上传进度反序列化环节的释放后使用（UAF）：请求初始化到一半被打断时，清理程序把半成品数据当成了正经数据；另一个是致命错误回溯的释放后使用叠加OPcache类型混淆：前一个请求的内部状态没有清干净，后一个请求顺着"过期地图"走到不该去的地方。两条路径的终点相同——远程代码执行。

影响面所以广，是因为PHP支撑了全球约七成网站，WordPress又占全球网站的43%左右，而且其中一个漏洞从PHP 5.4起的每一个版本都存在，等于二十多年的存量系统都在射程之内。安全公司Wiz的利用脚本在未经认证的情况下，成功拿下了当前版本WordPress、Drupal和Joomla的执行权限。

企业应对有三步：盘点互联网暴露面上的PHP站点和版本；能升级的按官方安全版本升级，短期升不了的先与公网隔离；同时排查应用日志，确认是否已有利用痕迹。安言咨询提供漏洞应急响应与资产自查服务，可协助企业完成排查、修复与复盘。

数据安全 关注安言