PHP2Shell 漏洞修复覆盖有限，数百万服务器面临风险
针对 PHP2Shell 漏洞的官方修复补丁仅适用于 PHP 8.2 至 8.5 版本。这一限制导致大量面向互联网的 PHP 主机因运行未获正式支持的旧版本而处于危险之中。根据马洛里（Malory）在 10 月 20 日发布的 Shodan 统计数据，约有 884,000 个面向互联网的主机明确标识其不支持的 PHP 版本，占统计范围内约 150 万主机的 59%。
受影响主机规模与数据细分
需要注意的是，上述数据基于主机横幅计数，并非经过确认的易受攻击站点。此外，还有约 740,000 台主机隐藏了其版本信息。CybelAngel 对数据的进一步细分显示：
- PHP 5.x：约 369,000 台主机
- PHP 7.x：约 329,000 台主机
- PHP 8.0 和 8.1：约 186,000 台主机
- PHP 8.2 至 8.5：约 612,000 台主机（这些分支已有修复补丁，但在统计时尚未应用）
由于共享托管模式将众多网站置于同一 IP 地址之后，实际受影响的独立站点数量可能与主机数量存在差异。Palo Alto Networks 的额外统计则指出，潜在易受攻击的实例超过 2260 万个。
PHP 官方对旧版本的支持策略
PHP 项目组并未为生命周期结束（EOL）的分支发布新的编号版本。虽然 PHP 发布了针对 7.4、8.0 和 8.1 的最小源代码后端支持，但并未为 5.6 或 7.3 及以上旧版本提供更新。根据计划，PHP 8.1 将于 2025 年 12 月 31 日终止生命周期；PHP 8.0 已于 2023 年 11 月达到支持终点；PHP 7.4 则于 2022 年 11 月停止维护。
版本号可能带来的误导
Linux 发行版可能在保留旧版本字符串的同时推送安全修复。例如，Ubuntu 22.04 通过常规安全渠道修补其 PHP 8.1 包，而 Ubuntu 20.04 中的 PHP 7.4 则需要订阅 Ubuntu Pro 才能获得支持。因此，报告旧版本的主机实际上可能是安全的，而上游报告版本为 8.1.34 的主机反而可能存在风险。管理员应直接检查供应商变更日志中的 CVE ID，而非仅依赖版本号判断安全性。
管理员应对建议
CISA 建议那些无法立即更新或仍运行不支持的 PHP 8.1 及更早版本的组织，在完成修补或升级前，将基于 PHP 的系统暂时脱机。长期解决方案是迁移到受支持的分支，其中 PHP 8.4 或 8.5 是更佳目标，因为 PHP 8.2 的安全支持将于 2026 年 12 月 31 日结束。福雷斯特（Forrester）分析师 Madelein van der Hout 警告称，仅检查主要网站可能会遗漏供应商及相关应用程序中的潜在风险。
