PHP2Shell 漏洞解析：互联网并未因此“死亡”，但风险不容忽视
近期，名为 PHP2Shell 的安全问题引发广泛关注。尽管其严重性不容小觑，但公众无需过度恐慌。本文旨在厘清 PHP2Shell 的本质、影响范围及应对策略，解答关于这一漏洞的核心疑问。
什么是 PHP2Shell？
PHP2Shell 并非单一漏洞，而是由两个独立的内存相关缺陷组成，分别标记为 CVE-2026-109618 和 CVE-2026-109619。这些漏洞存在于全球广泛使用的 PHP 编程语言中。据维基百科估计，约 70% 的网站依赖 PHP 技术栈。
该漏洞的严重程度评分高达 9.2/10。卡巴斯基亚太地区和 META 研究中心负责人 Sergey Lozhkin 指出：“攻击者可能会在受影响的系统上执行恶意代码，包括部署 web shell，从而获得对脆弱服务器的控制权。”
潜在后果与攻击机制
若攻击者成功利用这些漏洞，可实现远程代码执行（RCE），这是网络攻击中最严重的形式之一。Sergey Lozhkin 向 TechRadar 解释称，潜在影响巨大，攻击者可运行任意代码以篡改网站内容、窃取数据、将用户重定向至恶意站点进行钓鱼攻击，甚至直接安装恶意软件。
攻击流程通常包含以下阶段：
- 目标锁定：攻击始于运行易受攻击 PHP 版本的服务器，此类运行时漏洞极具危险性。
- 恶意请求注入：未经认证的攻击者直接向 PHP 网络服务器发送专门设计的未经授权有效负载请求，无需登录凭据或先前访问权限。
- 漏洞利用：核心 PHP 运行时的关键缺陷允许输入的有效载荷劫持正在进行的后端进程，导致执行错误或突破。
- 系统接管：由于运行时被劫持，攻击者可成功执行远程命令，进而访问用户操作系统并危及整个设备。
是否已被利用？
PHP2Shell 的情况比预期更为复杂，因为相关漏洞在正式安全公告发布前已被披露。Amazon 威胁情报显示，早在 10 月 17 日即出现利用尝试，当时漏洞尚未公开宣布，“目前尚不清楚该行为者如何在披露之前获得利用信息”。
Cloudflare 首席技术官 Dane Knecht 也证实了“早期攻击的出现”，发生在 PHP 团队推出补丁之前。Amazon 威胁情报警告称：“PHP2Shell 现在在野外被广泛利用。”
修复状态与用户行动指南
PHP 团队已针对 PHP 8.5、8.4、8.3 和 8.2 版本发布了紧急安全更新，对应的固定版本分别为 8.5.12、8.4.27、8.3.36 和 8.2.35。
对于普通网页浏览者而言，无需采取特殊措施，因为这不是浏览器层面的补丁，而是服务器端的问题。然而，网站所有者必须应用这些更新，可能需要自行安装或联系托管服务提供商确认已完成升级。鉴于情况的紧迫性，主要网站应已迅速完成修补工作。
值得注意的是，运行 PHP 8.1 或更早版本且无法升级到支持版本的网站存在持续风险，因为这些旧版本不再接收官方安全更新。建议此类网站暂时关闭或使用缓解措施作为临时方案。
浏览注意事项
用户在浏览时可能会遇到因修复 PHP2Shell 漏洞而导致维护中断的网站，这属于正常现象。本周内，建议特别留意浏览环境。若突然被重定向到其他网站或发现明显可疑迹象，应立即关闭网站和浏览器，避免再次访问，并启动防病毒软件进行全面扫描。
此外，尽量避开那些可能维护不善的网页角落，尤其是仍在使用无官方支持的 PHP 旧版本的站点。
人工智能的角色
虽然有人将 PHP2Shell 与人工智能联系起来，但 AI 并非漏洞产生的原因。Amazon 威胁情报指出，AI 降低了恶意行为者的门槛。过去，大多数利用发生在概念验证（PoC）公开之后；如今，通过 AI 辅助分析，将补丁差异转化为可操作的漏洞变得更为廉价和快速。一旦技术细节披露，更多参与者可在数小时甚至几分钟内发起攻击。
尽管 AI 也被用于防御领域，但业界担忧从长远来看，AI 可能在攻防博弈中更多地助长攻击方优势。
