意见建议 关于 PHP 核心远程代码执行漏洞（CVE-2026-109618 / CVE-2026-109619）的风险提示及处置建议

[NaoFu]

各位管理组成员：

您好。

2026 年 10 月 21 日，PHP 官方发布安全更新，修复编号为 CVE-2026-109618、CVE-2026-109619 的两处核心引擎漏洞，业界称为 PHP2Shell，CVSS 9.2。漏洞位于 PHP 运行时本身，与上层应用代码是否存在缺陷无关。凡通过 PHP 对外提供 HTTP 服务的站点，包括 WordPress、phpMyAdmin 以及 XenForo，均在影响范围内。CISA、CERT-EU 与 PHP Foundation 均已发布紧急通告。官方修复版本为 PHP 8.5.12、8.4.27、8.3.36、8.2.35。完成升级后须重启 PHP 工作进程（php-fpm 或等价服务）。仅升级 XenForo 程序或插件，无法消除该风险。PHP 8.1 及更早版本已停止官方维护，需依赖发行版回移植补丁，或在完成升级前暂停对公网提供服务。

本人基于公开页面进行了只读核对，未对站点实施漏洞验证，亦无法从外部获知贵站实际运行的 PHP 版本。目前可以确认的事实如下：

1. 站点目前仍对公网返回 HTTP 200，服务未中断。
2. 前端资源与会话特征符合 XenForo：css.php、/js/xf/、xf_ 前缀 Cookie、/styles/default/xenforo/。
3. /index.php 为 PHP 入口，并重定向至首页。

CERT-EU 已指出：相关技术细节正在公开讨论，初步利用代码开始流传，被利用的可能性正在上升。CISA 于 10 月 21 日发布通告时，尚未观测到在野利用；该表述对应当时时点，不构成后续安全保证。

建议管理组在主机控制面板或服务器上核查 php -v。若版本不在上述四个修复版本之列，请优先升级 PHP 运行时并重启工作进程，再视情况评估是否临时关闭公网访问。此提示仅说明运行时暴露面值得立即核对，并不表示本站已被入侵。

参考材料：

www.cisa.gov/news-events/alerts/2026/…require-immediate-patching
thephp.foundation/blog/2026/10/21/todays…ngthening-php-security/
https://cert.europa.eu/publications/security-advisories/2026-018


一只小脑斧 (NaoFu)
2026年10月22日