关于
关于本指南
一份厂商中立、以行动为导向的 PHP2Shell 汇总。它整合了 PHP 官方公告、研究人员和安全厂商发布的信息，并整理成可以直接执行的步骤。
最后核实 2026-10-22
原则
- 以官方来源为准。各方说法不一致时，以 PHP 安全公告为准。
- 不做产品推广。不推荐任何特定厂商。
- 明确标注不确定性。“已证实”“存在风险”和“很可能”在本站含义不同，用词经过斟酌。
- 不提供利用代码。本站只讲防御。
- 译文以英文版为准。译文与英文页面不一致时，以英文页面为准。命令和配置保留英文。
PHP 官方来源
- PHPGHSA-w8hw-w9fx-j79w — RCE via OOM corruption
- PHPGHSA-6wmf-4rv5-p3rp — RCE via stale global state
- PHP FoundationToday's PHP security release and how we're strengthening PHP security
- php.netOctober 2026 security release announcement
- NCSC-NLPHP2Shell operational guidance and product inventory
- CERT-EUSecurity Advisory 2026-018 — Critical Vulnerabilities in PHP
- CISAKnown Exploited Vulnerabilities catalog
- php.netSupported versions
原始研究
- Wiz ResearchPHP2Shell technical write-up
- CalifPHP2Shell
- OpenAICoordinated disclosure of critical vulnerabilities
- Wiz (original page)php2shell.com
安全厂商分析
- UbuntuPHP2Shell — fixed distribution packages and ESM coverage
- CloudflareWAF protection for PHP vulnerabilities
- AkamaiCritical RCE vulnerabilities in PHP core
- ImpervaPHP2Shell vulnerability updates
- CorelightPHP2Shell detection
- CrowdStrikeProtecting customers from PHP RCE zero-days
- Unit 42CVE-2026-109618 / CVE-2026-109619
- Cisco TalosTwo critical RCEs in PHP core
- watchTowrPHP RCE FAQ: CVE-2026-109618
- SansecPHP2Shell: critical PHP RCE