通俗解读

PHP2Shell 是什么？

PHP2Shell 是 PHP（大多数网站背后的软件）中的两个严重安全漏洞。攻击者无需密码就能借此接管 Web 服务器。补丁已经发布，真正的风险在于那些没有打补丁的服务器。

最后核实 2026-10-22

30 秒看懂

是什么

PHP 引擎中的两个漏洞（CVE-2026-109618、CVE-2026-109619），由 Wiz、OpenAI 和 Calif 的研究人员发现。

为什么严重

不需要登录，通过互联网就能利用，而 PHP 支撑着很大一部分网站——任何运行在未修复 PHP 上的网站都暴露在风险中。

怎么修

在服务器上升级 PHP 并重启。这由你的主机商、IT 部门或开发者完成——不是靠更新 WordPress 或插件。

打个比方

把你的网站想象成一家店铺，PHP 是店铺所在的大楼。锁好店门（密码、插件、网站更新）没有用，因为大楼本身的后门坏了。PHP2Shell 就是那扇坏掉的后门——得由大楼的业主（你的主机商或服务器管理员）来修。

我该做什么？

选择符合你情况的一项。

我有一个网站（WordPress、网店、社团网站……）

查一下你的网站用的是哪个 PHP 版本，并请主机商确认已经打了补丁。更新 WordPress 或插件解决不了这个问题。

检查你的网站 →

我负责一个团队或公司

问你的 IT 或外包团队：“我们所有的 PHP 服务器是否都已针对 CVE-2026-109618 和 CVE-2026-109619 升级并重启？” 对替你运维系统的供应商也问同样的问题。

IT 需要做什么 →

我在用在线服务（HR、薪资、网店）

通常什么都不用做。服务商会给自己的服务器打补丁，可能会有短暂维护。当心借这个新闻当诱饵的钓鱼邮件。

哪些服务下线了 →

我是记者，或者只是想了解

漏洞在 PHP 本身，补丁已于 2026 年 10 月 21 日发布，最大的风险是那些永远不会被更新的服务器。

事件经过 →

发给主机商或开发者的消息

发给主机商的邮件
主题：PHP2Shell（CVE-2026-109618 / CVE-2026-109619）修复情况确认

您好，

请确认运行我的网站 <域名> 的 PHP 运行环境，已经升级到修复
CVE-2026-109618 和 CVE-2026-109619 的版本（PHP 8.2.35 / 8.3.36 /
8.4.27 / 8.5.12，或包含回移植补丁的厂商构建），并且升级后已重启
PHP-FPM / LSAPI worker。

如果我的账户还在使用 PHP 8.1 或更早版本，请告知可以切换到哪个已修复的版本。

谢谢！

名字从哪来

“Shell” 在黑客术语里指对一台计算机的控制权。研究人员把他们组合起来的利用脚本命名为 php2shell——从 PHP 到 shell——这个名字随后成了整项研究的名称。它有时被误拼为 php4shell、pho2shell 或 php2shel，而且和 “phpshell” 这类 Webshell 脚本无关。

想和 Log4Shell 对比？

很多人还记得 2021 年的 Log4j 危机。看看 PHP2Shell 和它有何异同 →

常见问题

用最简单的话说，PHP2Shell 是什么？+

PHP 里的两个严重漏洞。PHP 是大多数网站（包括大多数 WordPress 网站）使用的编程语言。互联网上的陌生人无需登录，就能借此接管 Web 服务器或读取其内存中的机密信息。

PHP 是什么？+

PHP 是运行在 Web 服务器上、负责生成网页的编程语言。在已知服务端语言的网站中，约 70% 使用 PHP——WordPress、Drupal、Joomla、维基百科的 MediaWiki、许多网店和企业内部系统都是。

RCE（远程代码执行）是什么意思？+

意思是攻击者可以在互联网上任何地方，让你的服务器执行他们想要的指令。实际上这意味着他们可以窃取数据、安装恶意软件、篡改网站，或利用它攻击别人。

PHP2Shell 和 “PHP shell” / Webshell 是一回事吗？+

不是。Webshell（常被称为 phpshell）是攻击者入侵后上传的恶意脚本。PHP2Shell 是漏洞的名字——取自研究人员的利用脚本 php2shell——正是这个漏洞可能让攻击者走到那一步。

我只是在用某个 SaaS 工具，需要做什么吗？+

通常不用。修复是服务商的责任。留意他们的状态页——有些服务商（比如 BambooHR）曾短暂下线打补丁——只有在对方要求时才需要修改密码。

相关页面