PHP2Shell 漏洞事後復盤：核心缺陷 2024 年已被發現，修復工作未啟動

快科技11月5日消息，據PHP基金會事後分析報告，一對被統稱為PHP2Shell的嚴重PHP引擎漏洞（CVE-2026-109618與CVE-2026-109619），其核心缺陷早在2024年的一次代碼審計中就已被發現。

然而，當時由於未能證明該缺陷可被利用，修復工作並未啓動，漏洞在生產環境中又沉寂了兩年。

兩個漏洞的CVSS v4.0評分均為9.2，屬於預認證遠程代碼執行級別。攻擊者無需任何登錄憑證，僅憑精心構造的HTTP請求即可在服務器上執行代碼。

漏洞根源在於PHP處理致命錯誤和內存溢出後的狀態恢復過程：一次請求因內存不足而中斷後，PHP未能安全清理內部殘留狀態，後續請求會複用已被釋放的內存指針，最終導致代碼執行。

真正讓風險從理論變為現實的是AI的介入。2026年8月，OpenAI的“Patch the Planet”計劃聯合安全團隊，在AI輔助代碼審計中重新發現了這一內存管理缺陷，並在兩週內完成了人類開發者兩年未能做到的利用鏈構造。

到8月下旬，針對默認配置的WordPress、Drupal和Joomla的無認證遠程代碼執行均已被實際驗證。

此次漏洞的影響範圍極廣。PHP承載了全球約70%的網站，而受影響的代碼路徑可追溯至2012年發佈的PHP 5.4，意味着此後十餘年的PHP版本至少中了一個漏洞。

更嚴峻的是，在漏洞公開時，仍有約73%的在線PHP安裝運行的是已停止支持、無法獲得安全補丁的版本。

PHP官方已於2026年10月21日發佈修復版本（8.2.35、8.3.36、8.4.27、8.5.12），但對於那些無法升級的遺留系統，關閉session.upload_progress或設置memory_limit=-1只能收窄攻擊面，並不能從根本上消除缺陷。

一個2024年就被擺上桌面的內存安全問題，因為缺乏“可證明的利用方式”而被擱置，最終在AI的放大下演變為一場波及數十億網站基礎設施的危機。

PHP2Shell的事後復盤指向的並非某個單一代碼錯誤，而是一個更普遍的結構性困境：當維護資源有限、遺留系統龐大，且攻擊者的工具鏈正被AI加速時，“知道有問題但暫時修不了”的代價，正在被成倍地放大。

【本文結束】如需轉載請務必註明出處：快科技

責任編輯：紅茶

新浪科技公眾號

“掌”握科技鮮聞 （微信搜索techsina或掃描左側二維碼關注）

科學大家

新浪科技

新浪科技為你帶來最新鮮的科技資訊

蘋果匯

蘋果匯為你帶來最新鮮的蘋果產品新聞

新浪眾測

新酷產品第一時間免費試玩

新浪探索

提供最新的科學家新聞，精彩的震撼圖片