PHP2Shell：严重安全漏洞威胁网站和在线商店

编程语言PHP近期曝出两个严重安全漏洞，被命名为“PHP2Shell”，可能导致Web服务器执行外部代码。德国联邦信息安全局（BSI）已发出强烈警告，使用基于PHP的电商系统及老旧服务器环境的企业面临较高风险。相关安全更新已于2026年10月21日发布，此前已有疑似攻击尝试。

漏洞详情与风险评估

此次安全问题涉及PHP运行环境的核心功能，编号为CVE-2026-109618和CVE-2026-109619。根据CVSS 4.0标准，两者评分均为9.2（满分10分），属于关键级别漏洞。

PHP作为WordPress、Shopware、Magento及WooCommerce等主流电商平台的技术基础，其广泛使用扩大了潜在攻击面。但需注意，并非所有基于PHP的网站均自动受此影响。

漏洞根源在于内存管理和内部程序状态处理错误。在特定条件下，攻击者无需预先登录即可利用这些错误执行外部命令。其中，CVE-2026-109618与内存资源耗尽及错误访问有关；CVE-2026-109619则涉及对已释放内存区域的非法访问。

成功利用可能导致机密数据泄露、网站内容篡改或恶意软件植入，具体权限取决于系统配置。

攻击态势与应急响应

亚马逊安全团队于2026年10月17日记录到针对该漏洞的首次疑似攻击，早于官方披露数日。随后多个网络基础设施中相继出现可疑活动，表明利用尝试正在增加。

鉴于威胁紧迫性，安全补丁发布时间从原定的10月22日提前至10月21日。此次紧急更新还引发了PHP负责人与软件供应商Chainguard之间关于发布流程的争议。

对于零售企业而言，PHP漏洞可能带来重大经济损失。由于数字分销系统常与商品管理、支付及客户数据库直连，攻击可能导致订单操纵、信息泄露或在线商店停运，并引发恢复成本、IT取证及合规费用。

个性化定制的旧版商店系统升级尤为困难，技术依赖关系复杂。系统是否受威胁取决于运行时环境、补丁级别及服务器配置，仅凭使用PHP商店系统无法直接判定风险。

受影响版本与安全修复

PHP开发团队已为多个支持分支提供计划外安全修复，可用版本如下：

缺乏常规支持的旧版安装风险极高，企业除立即修复外，可能还需进行服务器环境的根本性现代化改造。安全公司Modat数据显示，全球约438万个可公开访问的PHP服务中，79%运行在不受支持的版本上，但这不代表全部易受攻击，主要反映了老旧环境的普遍性。

托管主机用户通常由服务商负责更新；自有服务器企业需自行确保安全修复。此外，部分Linux发行商已将修复纳入较早版本，低版本号不一定意味着无保护。

企业应对建议与技术趋势

IT负责人应首先全面梳理公网可访问的PHP应用，包括在线商店、接口及管理门户，并检查运行环境是否已防护。若底层PHP版本仍受影响，仅更新商店系统无效。

同时需审查服务器日志排查可疑活动，因运行环境层面的攻击未必在应用日志留痕。限制进程权限、网络分段及数据备份等措施可限制损害，但不能替代安全更新。

此次漏洞发现过程中，Wiz、Calif和OpenAI等机构的安全研究人员使用了人工智能辅助分析。此类工具能系统审查代码库并识别复杂错误组合，加速了隐蔽安全问题的发现。

当前正值黑色星期五及圣诞销售季前夕，业务中断可能导致严重损失。企业在快速更新时需谨慎评估兼容性。尽管确切入侵数量尚不明确，但现有攻击尝试已凸显防护紧迫性。数字销售渠道的安全不仅取决于商店软件，更依赖于底层语言、服务器组件及整体IT基础设施的定期维护。