CVSS

PHP2Shell CVSS：是 9.2，不是 10.0

两个 PHP2Shell CVE 的官方评分都是 CVSS 4.0 9.2（严重）。你可能看到的 10.0，来自发布前一天的泄露信息。

最后核实 2026-10-22

分数出处状态
9.2PHP 安全公告 GHSA-w8hw-w9fx-j79w 和 GHSA-6wmf-4rv5-p3rp（CVSS 4.0），PHP 基金会、watchTowr 和大多数厂商均采用此分数。官方
10.010 月 20 日约 15:00 UTC 起在论坛和社交媒体上流传的 CVE 编号，当时公告尚未公开。被早期新闻报道沿用。错误

向量逐项解读

两个 CVE 均为： CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

指标在本漏洞中的含义对分数的影响

AV:N

Attack Vector: Network（网络）

通过互联网发送普通 HTTP 请求即可触达。拉高分数

AC:H

Attack Complexity: High（高）

利用必须针对每个目标的内存布局调整，不是复制粘贴一个请求就能成功。拉低分数

AT:P

Attack Requirements: Present（存在前提）

能否成功取决于攻击者无法控制的部署条件（SAPI、内存限制、worker 复用）。拉低分数

PR:N

Privileges Required: None（无）

不需要账号，不需要登录。拉高分数

UI:N

User Interaction: None（无）

不需要任何人点击任何东西。拉高分数

VC:H / VI:H / VA:H

对漏洞系统的影响：High（高）

PHP 服务器的机密性、完整性和可用性全部失守。拉高分数

SC:N / SI:N / SA:N

对后续系统的影响：None（无）

评分不计入横向移动到其他系统——但实际中被窃取的凭据往往能做到这一点。拉低分数

为什么不是 10 分

有两项指标拉低了分数：AC:H（利用必须经过多次尝试，适配每个目标的内存布局）和 AT:P（能否成功取决于 PHP 的部署方式——SAPI、内存限制、worker 复用）。

攻击者最在意的每一项都处在最糟的档位：可通过网络触达、无需权限、无需用户交互、对服务器造成全面影响。

实际意味着什么

“更难利用”对熟练的攻击者来说只是个减速带，而且禁令提前一天就泄露了。请把它当作 10 分来对待：先打补丁，分数以后再争。

常见问题

PHP2Shell 的官方 CVSS 评分是多少？+

CVSS 4.0 下为 9.2（严重），CVE-2026-109618 和 CVE-2026-109619 相同，以 PHP 安全公告为准。

为什么有些网站报的是 CVSS 10.0？+

CVE 编号在 2026 年 10 月 20 日泄露，比协调发布早约一天，同时附带了错误的 10.0 分。基于泄露信息撰写的文章沿用了这个分数。PHP 基金会随后确认 10.0 是错的。

9.2 而不是 10.0，是不是就没那么紧急了？+

不是。差别只在于利用需要针对每个目标做适配（高复杂度、存在攻击前提）。它仍然是可通过网络触达、无需认证的远程代码执行，而且已有早期攻击报告。请以最高优先级打补丁。

相关页面