您的网站是否受到PHP2Shell漏洞的影响？阿联酋企业主只需5分钟即可完成自查

2026年10月21日，PHP项目发布了针对两个被昵称为“PHP2Shell”的严重安全漏洞的紧急修复补丁（CVE-2026-109618 和 CVE-2026-109619， 根据CVSS v4.0评分标准，两者均获9.2分），这些漏洞允许攻击者无需登录即可在Web服务器上执行代码，无论网站使用何种内容管理系统（CMS）或插件。这些漏洞同样影响WordPress、Drupal、Joomla以及自定义PHP应用程序。 短短数小时内，欧洲和北美各地的政府网站、包括互联网档案馆（Internet Archive）和 DeviantArt 在内的大型平台，以及众多企业网站纷纷进入维护模式，以在攻击者利用漏洞之前进行修补。

该问题的影响范围不同寻常。据安全公司Wiz称，过去十年间的每个PHP版本（最早可追溯至PHP 5.4）都至少受到这两个漏洞中一个的影响。这些漏洞存在于PHP的内存处理机制中，而非WordPress或插件本身，因此仅更新WordPress或插件是无济于事的。 主机或服务器管理员必须更新PHP本身并重启Web服务器。正因如此，许多组织遵循美国网络安全与基础设施安全局（CISA）、英国国家网络安全中心（NCSC）、欧盟计算机应急响应小组（CERT-EU）以及德国联邦信息安全局（BSI）的指导建议，在确认补丁已部署之前，将网站下线。 阿联酋的大部分商业网站都运行在WordPress和共享PHP主机上，因此尽管尚未发布针对阿联酋的具体声明，但这在当地仍至关重要。如果您的网站基于现代JavaScript技术栈（如Next.js，The Digital Agency在客户项目中使用该技术）构建，则不运行PHP，因此不受影响。

PHP项目宣布了什么

该PHP项目于2026年10月21日发布了修复版本：PHP 8.5.12、8.4.27、8.3.36和8.2.35。 相关细节已于一天前泄露，GitHub 安全公告于 10 月 21 日 UTC 时间 13:34 左右发布。 PHP 8.1 及更早版本已达到生命周期终止（EOL），这意味着不再提供官方构建版本，但 PHP 7.4、8.0 和 8.1 仍可获取源代码补丁。使用这些版本的用户必须咨询其操作系统供应商，或升级到受支持的版本。

这两个漏洞均影响处理 Web 请求的 PHP 组件：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 均存在漏洞。由于这些漏洞允许未经身份验证的远程代码执行，攻击者无需任何凭据即可接管服务器。 Calif和Wiz的研究人员于2026年8月利用人工智能模型发现了这些漏洞，Wiz表示已在实验室测试中证实，攻击者可未经身份验证便接管最新的WordPress、Drupal和Joomla安装环境。

亚马逊的MadPot蜜罐网络于2026年10月17日记录到一次攻击尝试，这比公开披露早了四天，这意味着攻击者在补丁发布前就已经掌握了可用的漏洞利用手段。亚马逊建议各组织至少追溯至10月17日，检查是否有可疑活动。

攻击是如何发生的，以及有哪些防护措施

Cloudflare 于 10 月 21 日 UTC 时间 03:02 为所有套餐（包括免费账户）启用了免费的防火墙（WAF）保护，这比漏洞披露时间早了约 9 小时。 Cloudflare 首席执行官马修·普林斯（Matthew Prince）报告称，在公开公告前的 10 小时内，系统记录了数千次攻击尝试；公告发布后 45 分钟内，攻击尝试达到数万次；两小时内增至数十万次；到第二天，攻击次数已达数百万次。攻击者调整了攻击载荷，试图绕过防火墙。这些均为系统记录的攻击尝试，并非已确认的成功入侵。 Cloudflare 强调，其防火墙规则仅作为额外防护层，不能替代系统补丁。

美国网络安全与基础设施安全局（CISA）于10月21日发布警报，要求各组织立即进行补丁更新，优先处理面向互联网的系统。如果无法进行补丁更新，或者网站运行的是PHP 8.1及更早版本，CISA建议将PHP系统下线，直至完成补丁更新。其他国家的网络安全机构也发出了相同的指导意见。 受此影响，芬兰、荷兰（Overheid.nl）、法国（内政部网站）、丹麦（国家教育平台）和加拿大的政府网络服务相继下线或进入维护状态，维基媒体支持服务、互联网档案馆、DeviantArt以及日本的多款大型手机游戏也同样受到影响。 仅显示维护页面并不意味着网站遭到黑客攻击，仅表明该组织遵循了官方建议。

这对阿联酋企业意味着什么

如果您在阿联酋的企业运营着基于WordPress、Drupal、Joomla 或自定义 PHP 的网站，您需要确认您的主机服务商或 IT 团队已应用了该修复程序。 在共享主机环境中，大多数企业无法自行更新 PHP，因此这取决于主机服务商。即使您每天更新 WordPress 核心和所有插件，也无法修复此漏洞，因为该漏洞存在于 PHP 中，而非 WordPress。

您还需要确认更新已安装，而不仅仅是已安排。主机服务商可能会告知您计划在周末进行补丁修复，但证据表明，攻击者在漏洞披露前数天就已经开始活动，并在公告发布后的数小时内加剧了攻击力度。 每一小时都至关重要。如果您的主机服务商无法确认会立即发布补丁，或者您正在使用 PHP 8.1 或更早版本且无升级路径，请考虑将网站切换至维护模式，直到更新完成，或者转用已经发布补丁的服务商。

除了打补丁外，请追溯至2026年10月17日，检查系统是否存在遭入侵的迹象。重点排查WordPress或您的内容管理系统（CMS）中是否存在未知的管理员用户、Web根目录中是否出现新文件或被修改的文件、是否存在意外重定向、Google是否收录了垃圾页面，以及是否有PHP进程启动shell或下载工具。 如果您使用 Cloudflare 或其他 Web 应用防火墙，请将其保持启用状态作为额外的安全层，但切勿将其作为补丁的替代方案。对于正在考虑放弃旧版 PHP 技术栈的企业，我们的网页设计团队可协助您评估现代替代方案，从而彻底消除这一类风险。

5分钟自查

请立即致电或发送电子邮件联系您的主机服务商或内部 IT 团队，请他们确认您的网站正在运行哪个版本的 PHP，以及是否已更新至以下已修复版本之一：8.5.12、8.4.27、8.3.36 或 8.2.35。 请他们确认更新已安装且 Web 服务器已重启，而不是仅表示计划在本周晚些时候进行。如果答复不明确，请要求提供一份包含完成日期和时间的书面声明。

如果您的网站运行的是 PHP 8.1 或更早版本，则您正在使用已不再受支持的版本。8.1、8.0、7.4 及更早版本均不存在官方构建版本。 部分操作系统供应商会回溯应用安全修复程序，因此请向您的服务提供商咨询，您的操作系统发行版是否已发布补丁。如果没有，请将升级至 PHP 8.2 或更高版本列为紧急项目。请先在预发布环境中使用新版本对您的网站进行测试，因为 PHP 8.2 引入了可能影响旧代码的破坏性变更。

请检查10月17日及之后时段的服务器和应用程序日志。 重点排查异常的POST请求、意外的PHP错误、/tmp目录或Web根目录中的新文件、核心CMS文件的修改、新创建的管理员账户，以及由Web服务器用户启动的进程。若发现任何可疑情况，请将其视为潜在的安全漏洞，并立即联系取证专家。作为预防措施，请更改所有管理员密码和API密钥。

最后，如果您尚未部署Web应用防火墙（WAF），请立即设置。Cloudflare提供免费套餐，可提供基础的WAF防护。即使在打补丁后也请保持启用状态，因为下一个漏洞的出现只是时间问题，而非是否会出现的问题。

如果您需要协助对网站进行安全审计、规划从旧版 PHP 迁移，或是迁移至完全消除此类风险的现代化、无 PHP 技术栈，请联系我们的团队。我们能在几天内（而非几周）为您提供明确的实施方案。