跳转到内容

PHP2Shell

本页使用了标题或全文手工转换
维基百科，自由的百科全书
PHP2Shell
一張因PHP2Shell資安問題而暫停運作的網站公告截圖
維基媒體基金會的Phabricator協作站台在PHP2Shell被發現後，暫時停止服務的公告
CVE标识符
  • CVE-2026-109618
  • CVE-2026-109619
发布日期2026年10月20日，​14天前​（2026-10-20）
补丁发布日期2026年10月21日，​13天前​（2026-10-21）
发现者Calif、OpenAI、Wiz等公司
受影响软件PHP版本5.4至8.5
网站php2shell.com

PHP2Shell是一組影響PHP 5.4至8.5版本的兩項高影響性漏洞，其公共漏洞和暴露（CVE）識別編號分別為CVE-2026-109618及CVE-2026-109619，可導致遠端程式碼執行（RCE）。這兩項漏洞的存在於2026年10月20日首次對外公佈。[1]緊急修補程式及漏洞的詳細資訊則於翌日發佈。[2]

發現

[编辑]

早在PHP 5.4版本中，這些漏洞便已存在。儘管數十年前就有人指出這類程式錯誤值得關注，但當時認為實際利用這些漏洞進行攻擊並不可行，因此未採取行動。[3][4]2024年，一名PHP核心開發者在安全稽核期間發現其中一項漏洞背後的記憶體不足錯誤，但開發團隊未能就修復方式達成共識。由於當時尚未發現具體的漏洞利用方法，修復工作最終未能完成。[5][6]

2026年8月，總部位於美國加利福尼亞州的資安公司Calif在OpenAI「Patch the Planet」計畫中發現這兩項漏洞；以色列與美國的雲端資安公司Wiz也獨立發現了這些漏洞。[4]研究人員使用了Gemini 4 Argon、GPT-5.6 Sol及Wiz Atlas等人工智慧工具協助發現漏洞。[7]

PHP開發者依據通用漏洞評分系統（英语：Common Vulnerability Scoring System）（CVSS）4.0版，將這些漏洞的嚴重程度評為9.2分（滿分10分），屬於「嚴重」（Critical）等級；資安公司watchTowr則給予滿分10.0分的評價。[8][9]

修補

[编辑]

PHP維護團隊發佈了PHP 8.2、8.3、8.4及8.5的修補版本，分別為8.2.35、8.3.36、8.4.27及8.5.12。[2]針對PHP 7.4、8.0及8.1，官方也提供了原始碼修補程式，但由於這些版本已終止支援，因此未發佈官方更新的二進位檔案。[2]官方同時公佈了暫時性的緩解措施，但維護團隊表示，沒有任何措施能完全緩解漏洞風險，更新才是唯一安全的選擇。[2] 兩項漏洞的安全公告於2026年10月21日世界協調時間13時34分透過GitHub發佈，比PHP官方原定的14時提前26分鐘，PHP官方網站也在不久後更新。[10]

PHP維護團隊之所以提前宣佈更新，是因為漏洞消息於10月20日提前外洩，包括Hacker News論壇上的貼文、資安公司watchTowr Labs在X上的貼文，以及Calif意外發佈的一段概念驗證（POC）漏洞利用影片。[11][4][5]PHP.net的提前公告呼籲使用者預先做好準備，並在修補程式發佈後立即更新。[2]資安公司Sansec當時預期，大規模攻擊將在修補程式發佈後15分鐘內開始。[12]在協調揭露的保密期限結束前，網路上便開始流傳概念驗證漏洞利用程式、技術分析及部分緩解措施。這是因為軟體開發平台Chainguard提前發佈了已修補版本，使攻擊者得以確認哪些程式碼遭到修改。[9][5]

影響

[编辑]
中文維基百科頂部的一則通知稱，因受PHP2Shell漏洞的影響，維基社群擁有的工具已暫停服務。

根據 W3Techs 於2026年10月22日的統計，在能辨識伺服器端程式語言的網站中，約 69.3% 使用 PHP。[13]PHP廣泛應用於Drupal、Joomla!及WordPress等內容管理系統，因此這些漏洞的潛在影響範圍相當廣泛。[14]PHP也隨附於部分廠商的設備、虛擬主機管理控制面板（例如cPanel和Plesk（英语：Plesk）），以及部分 Windows 應用程式。[15]

根據歐盟電腦緊急應變小組（CERT-EU）及英國國家網路安全中心的建議，歐洲許多組織在等待修補程式發佈期間，預防性地將網站下線。受影響的服務包括荷蘭政府入口網站Overheid.nl、丹麥全國學校通訊平台、芬蘭政府所有對外公開的網路服務，以及法國內政部轄下各地地方行政機關的網站。[7][16][17][18]美國國家安全局建議，如果網站無法立即更新，應考慮暫時將其下線。[3][19]英國國家網路安全中心也發佈了類似警告，敦促各組織留意後門的風險。[20]日本國家網路安全辦公室則建議PHP使用者立即更新系統。[21]

維基媒體基金會關閉了許多支援服務，論壇網站4chan和Something Awful也暫時下線。[14][22][3]網際網路檔案館亦曾短暫關閉服務，以修復相關問題。[23]日本多家網站及線上服務因應PHP安全漏洞而暫時中斷服務或實施緊急維護，包括托育機構管理系統CoDMON、SAKURA internet的租用伺服器服務、網路開店平台BASE、影片分享平台Niconico動畫及創作社群網站pixiv，[21][24]以及《賽馬娘 Pretty Derby》、《Shadowverse: Worlds Beyond》等遊戲。[21][22]

漏洞利用

[编辑]

Cloudflare表示，在修補程式正式公開發佈前便已觀察到早期漏洞利用跡象，並部署暫時性的網頁應用程式防火牆（WAF）規則，試圖作為阻擋漏洞利用的過渡性措施。[25]資安公司watchTowr表示，截至10月21日，其蜜罐網路已觀察到實際環境中的漏洞利用活動；[26]但美國網絡安全和基礎設施安全局（CISA）則表示，截至同日尚未觀察到漏洞遭利用的情況。[14]

10月25日，安全研究员 Jaydip Modhwadia 在名为“Steal My Bitcoin”的线上安全挑战中，成功利用 PHP2Shell 在运行未修补版本 PHP 的服务器上取得远程代码执行权限，证明该漏洞在特定条件下具有实际可利用性。[27]

參見

[编辑]

參考資料

[编辑]
  1. ^ PHP: News Archive - 20 Oct 2026. PHP.net. 2026-10-20 [2026-10-22]. （原始内容存档于2026-10-20） （英语）. 
  2. ^ 2.0 2.1 2.2 2.3 2.4 PHP: News Archive - 21 Oct 2026. PHP.net. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-20） （英语）. 
  3. ^ 3.0 3.1 3.2 Kan, Michael. This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says. PCMag. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  4. ^ 4.0 4.1 4.2 McMillan, Robert. Exclusive: AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk. The Wall Street Journal. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  5. ^ 5.0 5.1 5.2 Constantin, Ana Maria. PHP knew about one of the flaws in 2024 but could not agree a fix. The Next Web. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  6. ^ Today's PHP Security Release, and How We're Strengthening PHP Security. The PHP Foundation. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  7. ^ 7.0 7.1 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer. Government websites go dark after AI-discovered flaw sparks security scramble. Reuters. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  8. ^ php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release. PHP Mailing Lists. [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  9. ^ 9.0 9.1 Abrams, Lawrence. PHP warns admins of two critical flaws, emergency patches coming tomorrow. BleepingComputer. [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  10. ^ Upcoming Critical PHP Security Release. PHP.net. 2026-10-20 [2026-10-22]. （原始内容存档于2026-10-20） （英语）. 
  11. ^ Khandelwal, Swati. PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert. The Hacker News. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  12. ^ Goodin, Dan. PHP warns it plans to release 2 emergency patches imminently. Ars Technica. 2026-10-20 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  13. ^ Usage statistics of PHP for websites. W3Techs. [2026-10-22] （英语）. 
  14. ^ 14.0 14.1 14.2 Collier, Kevin. Critical vulnerabilities in commonly used web code spark rush to update systems. NBC News. 2026-10-21 [2026-10-22] （英语）. 
  15. ^ Hammond, John. Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619). Huntress. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  16. ^ Gerkin, Tom. Websites taken down worldwide as critical PHP cyber-security update issued. BBC News. 2026-10-21 [2026-10-21]. （原始内容存档于2026-10-21）. 
  17. ^ Van Dessel, Josse. Major websites go offline as critical PHP vulnerability triggers security fears. The Brussels Times. 2026-10-21 [2026-10-22] （英语）. 
  18. ^ Critical security issue affecting PHP. National Cyber Security Centre. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  19. ^ NSA Advisory: PHP Updates. National Security Agency. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  20. ^ Booth, Robert; Down, Aisha. Flaw in PHP computer language leads to shutdown of websites around world. The Guardian. 2026-10-21 [2026-10-22] （英语）. 
  21. ^ 21.0 21.1 21.2 著名ITサービス相次いで緊急メンテへ　コドモン、シャドバ、BASE、さくらのレンタルサーバなど　「PHP」脆弱性に起因か. ITmedia. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （日语）. 
  22. ^ 22.0 22.1 Tauber, Olivia. PHP vulnerability: Which websites and services are affected?. Mashable. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-22） （英语）. 
  23. ^ Smith, Paul; Mizen, Ronald. AI just discovered a bug putting 70pc of world's websites at risk. Australian Financial Review. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-23） （英语）. 
  24. ^ ニコニコやpixivなど各種ウェブサイトおよびアプリがPHPの緊急パッチに対応するべくメンテナンス入り. GIGAZINE. 2026-10-21 [2026-10-22] （日语）. 
  25. ^ Gatlan, Sergiu. PHP ships emergency patches for critical PHP2Shell flaws. BleepingComputer. 2026-10-21 [2026-10-22]. （原始内容存档于2026-10-21） （英语）. 
  26. ^ PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619. watchTowr. 2026-10-20 [2026-10-22] （英语）. 
  27. ^ UK pentester 'killa' claims $2K Bitcoin prize in PHP2Shell capture-the-flag contest. The Register. 2026-10-26 [2026-10-27] （英语）. 

外部連結

[编辑]
取自“https://zh.wikipedia.org/w/index.php?title=PHP2Shell&oldid=95362652”