尊敬的各位客户：

2026年10月21日，PHP官方发布紧急安全更新，修复两个位于PHP解释器内核的高危远程代码执行漏洞，CVE-2026-109618与CVE-2026-109619，社区统称“PHP2Shell”。两个漏洞在CVSS v4.0体系下评分均为9.2（Critical），利用无需认证，无需应用层漏洞，特制HTTP请求即可触发。补丁发布前夕，PoC与技术细节已在网络泄露，多家机构观测到在野攻击尝试，最早的利用尝试出现在补丁发布前4天。任何仍在处理PHP Web请求的未修复实例均处于实质性暴露状态，Apache mod_php部署风险最高。

PHP是大量Web应用、CMS、管理后台乃至嵌入式设备的运行底座。本次缺陷位于PHP核心的内存管理与状态清理机制，应用层代码写得再安全也无法抵消风险；disable_functions、open_basedir 等脚本层防护对此类内核缺陷同样无效。这是一次基础设施层面的安全事件，而非单一应用的补丁问题。

影响范围

phpStudy、宝塔、XAMPP等集成环境内置的PHP经过厂商二次打包，不能直接覆盖官方补丁，须通过对应厂商通道获取适配版本。

路由器、NAS、工控Web管理界面等嵌入式设备中的精简PHP环境同样可能受影响，常规资产扫描容易遗漏，须单独纳入排查。    

风险危害说明

网站若未及时处理，将面临：

• 网站被篡改、挂黑链、弹窗赌博广告

• 服务器被植入木马、后门留痕、持续被控

• 企业客户数据泄露、订单信息被盗

• 搜索引擎降权、域名报毒、企业品牌受损

• 不符合网络安全合规要求，存在被核查风险