PHP 最新零日漏洞怎么没人讨论

好多业务都还在 php7 环境跑呐这下官方都不支持修补完蛋了

 [紧急安全预警] 关于 PHP2Shell (CVSS 9.2) 核心级 RCE 漏洞的修复指南

尊敬的客户：

您好！针对即将在北京时间 10 月 21 日（周三） 22:00 公开的 PHP 核心严重安全漏洞，我们在此向您发布最高级别的安全预警。

据国际安全机构 Sansec 披露，此次爆发的漏洞被称为 PHP2Shell 。目前该漏洞的自动化利用工具截图已在安全社区泄露，预计官方补丁发布后 15 分钟内，全网将出现大规模的无差别扫描与攻击。

漏洞核心情报
漏洞代号/编号：PHP2Shell (CVE-2026-109618, CVE-2026-109619)

危险等级：CVSS 9.2 （极度危险）

漏洞类型： 远程代码执行（ RCE ），攻击者可直接接管服务器获取 Shell 。

受影响版本：PHP 5.4 及以上所有版本。Magento 、Shopware 、WooCommerce 等电商系统及各类 CMS 将受严重威胁。

补丁发布时间： 北京时间 10 月 21 日（周三） 22:00 （ 14:00 UTC ）

⚠️ 核心警告：无法在代码层防御
该漏洞存在于 PHP 的底层架构中。这意味着任何代码级别的修改、面板加固或常规的应用层防护插件都无法拦截此攻击。防御的唯一有效方式是在服务器基础设施层面（环境底层）直接更新 PHP 版本。

紧急应对与修复建议
官方将仅为 PHP 8.2 、8.3 、8.4 和 8.5 发布修复补丁。请您立即采取以下行动：

1. 正在使用 PHP 8.2 - 8.5 的用户（需今晚紧急操作）：

随时待命： 请通知您的运维团队在今晚 22:00 前做好准备。

抢占黄金 15 分钟： 补丁一旦发布，请务必在第一波自动化攻击到来前，通过包管理器（ apt/yum ）或重新编译升级 PHP ，并立刻重启相关服务（ Nginx/Apache/PHP-FPM ）。

2. 正在使用 PHP 8.1 及以下旧版本（含 5.6 、7.x 等）的用户：

官方已明确不会为这些版本发布补丁。继续使用这些版本将让您的服务器完全裸露在 PHP2Shell 的攻击火力之下。

短期缓解： 立即排查并收紧服务器安全组及防火墙（ iptables/firewalld ）策略，开启高级别 WAF ，并在 php.ini 中禁用高风险命令执行函数。

长期建议： 请即刻安排业务环境迁移，将底层升级至受官方支持的 PHP 8.2+ 版本。

ucaime

9 小时 11 分钟前

好消息：暂时还没发现被攻击的迹象
坏消息：用的 PHP8-，而且因为历史原因很难直接升级上来~

看起来是时候把以前的一堆 php 老服务用 AI 重构一遍了。。。

> 这个漏洞看描述影响面会非常大，考虑到存量 PHP 应用的规模，以及最近几年很多老的 PHP 业务系统被遗忘、边缘化、没人维护等等一系列问题。一旦漏洞的修复出来，通过逆向或其他方式很容易发现被利用的方法并迅速扩散。理论上会成为近几年影响最大的安全事件
> 更蛋疼的是，连原来搞 PHP 的人都逐渐转移到其他领域或者玩 AI 去了，老业务的漏洞修复都是个问题
> 很多很多年之前我以前还给大量的高校、政务、媒体搞过一堆的 PHP 的应用和服务，居然现在都还在用，但按目前观察到的维护力度，几乎不可能在半年内完成修复，麻烦大了

ucaime

8 小时 50 分钟前

@iorilu 目前仅仅几个小组验证了漏洞并发布了演示，其他人还不知道漏洞细节，但一旦补丁发布，通过逆向和问题定位，会被几乎所有漏洞研究组织、黑灰产等等渠道获得具体的利用方法并扩散。这个时间大概在发布后 15 分钟左右，并迅速达到高峰。

根据以往的经验，这玩意儿的利用工具会迅速的增加修复功能，并在自己入侵获得权限后帮你修复漏洞避免被后来者抢走权限，所以你懂的，时间就是金钱~