PHP2Shell漏洞引发全球紧急响应，官方发布最新缓解指南
近期披露的 PHP 关键漏洞 PHP2Shell 引发了全球范围内的紧急修复行动。随着事态发展，PHP 项目组已发布进一步的技术指令，指导组织采取具体措施以防范潜在威胁。
什么是 PHP2Shell？
PHP2Shell 涉及两个严重度评分均为 9.2 的关键漏洞：CVE-2026-109618 和 CVE-2026-109619。这两个缺陷影响了大多数 PHP 构建版本，其严重性促使全球开发者尽快应用修复程序。
由于 PHP（Hypertext Preprocessor）是一种广泛使用的通用编程语言，这些漏洞的影响范围极广。据 Wiz 安全团队透露，此次发现的漏洞是在人工智能技术的辅助下完成的。
攻击风险与AI的双重角色
这些漏洞主要包含内存泄露以及未经认证的远程代码执行（RCE）。攻击者利用这些缺陷可以在受影响的服务器上执行任意代码或读取敏感的进程内存，从而窃取数据并渗透至企业内网。
值得注意的是，虽然人工智能帮助研究人员发现了这些漏洞，但它同样可能被网络犯罪分子用于武器化。根据研究人员的分析，开发复杂的攻击链并证明漏洞可利用性原本对人类研究者而言极具挑战，但前沿 AI 模型显著降低了这一技术门槛，使得长期存在的漏洞迅速转化为实际威胁。
亚马逊威胁情报部门指出，在漏洞公开披露前四天，针对 PHP2Shell 的利用尝试就已经发生。概念验证代码（PoC）在披露后数小时内便开始流传。一名与 PHP2Shell 攻击链相关的威胁行为者正试图部署 Mirai 风格的僵尸网络。Cloudflare 首席执行官 Matthew Prince 表示，Cloudflare 网络目前正记录到“数百万”次利用尝试。
最新缓解措施与技术细节
在 10 月 23 日发布的咨询报告中，PHP 项目敦促组织立即采取以下缓解措施：
- 禁用会话上传进度：设置
session.upload_progress.enabled=0，直到 PHP 下一轮预定的错误修复完成。尽管该选项在 10 月 21 日发布的版本中已被列为缓解手段，但鉴于当前形势，应用此配置可防止不同的远程代码执行向量。 - 调整序列化处理器：应用程序必须在设置中将
session.serialize_handler设置为php_binary或php_serialize，然后在运行时通过ini_set转换为php。同时，会话上传进展必须保持启用状态。如果在运行时从不更改序列化处理器的应用程序，可以保持该功能启用。
此外，新记录的 RCE 漏洞 CVE-2026-115560 需要异常的配置和应用程序代码设置才能触发，因此其攻击向量被认为是“不太可能的”。对于此类情况，上述缓解措施足以应对，直至 PHP 项目在正常发布周期中彻底解决。
组织行动建议
PHP 项目强烈建议用户立即更新至以下安全版本：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
如果无法立即进行补丁更新，组织应实施咨询中包含的缓解措施。
美国国家安全局（NSA）建议在未来几周内提高对 PHP2Shell 的关注度，并表示任何与 PHP2Shell 相关的供应商补丁都应被优先处理。企业还应考虑采取加强日志记录和更换已过期的 PHP 包等减轻措施。
所有用户应立即对依赖易受攻击 PHP 版本的硬件和软件服务进行清单梳理，并确保相关系统及时应用补丁。
Perforce Zend 和 OpenLogic 首席产品经理 Matthew Weier O'Phinney 在与 ZDNET 交流时表示，大多数开源软件和商业 LTS 软件发行版通常在协调发布时或在几个小时内提供补丁。他补充道：“假设您使用的是其中一个版本，使用您的系统包管理器进行更新是一个快速的补救措施。”
