PHP 爆出无需登录的远程代码执行漏洞，多家欧洲政府网站紧急关站，企业官网该怎么应对？

10月21日，PHP 官方发布安全更新，一次修复了两个远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）。安全圈给这对漏洞起了个直白的外号——PHP2Shell，意思是：利用它，攻击者可以从一个 HTTP 请求直接打到服务器命令行。

接下来的两天，事情的发展超出了很多企业主的预期：荷兰、芬兰、法国、德国的多家政府机构和公共服务平台选择临时关站避险；国内 CNVD 收录漏洞，网信部门发布风险提示，各大云厂商的安全中心同步通告。一个 PHP 内核漏洞，让全球互联网都紧张了一次。

如果你的企业官网是 WordPress、易优CMS、织梦、Joomla、Drupal，或者任何 PHP 开发的网站——包括找建站公司定制的绝大多数官网——这件事都和你直接相关。这篇文章把漏洞讲清楚，然后说说企业该做的三步自查，以及为什么这次事件恰好说明了网站维护的价值。

一、这次漏洞严重在哪

先说结论：这不是一个"需要很多前提条件"的漏洞。

根据官方公告和安全厂商的分析，漏洞出在 PHP 解释器内核的内存管理环节。攻击者只需要构造特定的恶意 HTTP 请求（比如一个特制的 multipart POST 请求），就能触发内存破坏，在特定条件下实现：无需任何账号密码，远程执行任意代码。拿到代码执行权限，意味着攻击者可以篡改网页、拖走数据库、在服务器上种植后门，甚至把你的服务器变成攻击别人的跳板。

以往很多漏洞的利用门槛是"先拿到一个低权限账号"或者"管理员误操作"，这次不同——不需要身份验证。这也解释了为什么多国政府网站的应急手段是最直接的"先关站再说"：在补丁部署完成前，让网站从互联网上暂时消失，是唯一保证不被利用的办法。

另一个值得注意的细节：这组漏洞的发现过程有 AI 的深度参与——网络安全公司 Calif 与 OpenAI 合作，借助 AI 模型发现了漏洞，谷歌旗下安全公司 Wiz 也独立发现了它。AI 参与漏洞挖掘意味着，从漏洞披露到被大规模利用的时间窗口正在缩短。等攻击脚本满天飞再动手，就晚了。

二、你的网站受影响吗？版本对号入座

官方修复版本为：PHP 8.2.35、8.3.36、8.4.27、8.5.12。也就是说，凡低于这些版本的 8.x 系列，以及已经停止安全维护的 PHP 8.1 及所有更早版本（7.x、5.x），理论上都在受影响范围内。

现实情况比版本号更严峻。安全公司 Censys 截至 10 月 21 日监测到约 258 万台可从公网访问的 PHP 主机，其中约 157.6 万台报告的版本低于修复版本。更麻烦的是，其中大量主机跑的是官方早已停止支持的旧版本——这些版本连官方补丁都没有，需要主机商做源码回移植，或者干脆升级整个环境。

还有一点经常被忽略：漏洞在 PHP 内核，不在你的网站程序里。所以即便你的 CMS 是最新版，只要服务器上的 PHP 解释器版本旧，风险就存在。反过来说，修复动作也不在网站后台点个按钮，而是要动服务器环境——这正是很多企业自己搞不定的部分。

三、企业网站可以立即做的三步自查

不用慌，大多数企业网站的应对并不复杂。按下面三步走：

第一步：查清楚自己网站的 PHP 版本。最简单的办法是问你的建站公司或主机服务商："我们网站的 PHP 是什么版本，在不在这次受影响的范围内？"也可以登录主机管理面板（宝塔、cPanel 等）直接查看。版本号大于等于 8.2.35（且不在 8.1 及以下），本次漏洞基本无忧。

第二步：能升级的立即升级。升级 PHP 大版本（比如 7.4 升 8.x）可能引起老程序不兼容，需要测试；但在同一大版本内升级小版本（8.2.31 → 8.2.35）一般是无感的，主机商通常可以直接操作。升级前务必备份，这是铁律。

第三步：暂时升不了级的，先做临时防护。官方和国内监管给出的临时措施包括：关闭会话上传进度功能（session.upload_progress）、通过防火墙或安全组限制敏感接口的公网访问、对服务器日志中的异常 POST 请求保持监控。这些操作需要一定技术背景，做之前同样先备份。

另外提醒一句：改完版本后，把服务器上各系统的管理员密码、数据库口令、密钥顺手换一遍，是监管通报里明确建议的动作——不能假设漏洞披露期间没有人扫过你的服务器。

四、这次事件恰好说明：网站是需要养的，不是建完就完

很多企业主的网站观感是："网站做好了，挂在那里就行，每年就是交个域名和空间钱。"这次 PHP 事件是一个很好的反面教材——网站程序运行在一条会持续暴露新漏洞的软件链上：操作系统、Web 服务、PHP 解释器、CMS 内核、插件主题，每一环都可能出问题。

过去几年，这类"全链条爆雷"并不罕见：WordPress 插件被植入后门、某 CMS 爆出注入漏洞导致成批网站被挂马、服务器组件的漏洞被勒索团伙批量利用。每一次，中招最深的都是那些"多年没人碰过"的网站——版本老旧、没有备份、没人盯日志，出事之后连恢复的起点都没有。

而维护到位的网站，在这种事件里的表现是这样的：

1. 漏洞披露当天就知道自己中不中招——因为维护方一直在跟踪服务器环境和组件版本；

2. 补丁发布后短时间内完成升级——环境是文档化的，升级流程是现成的，出问题有备份可回滚；

3. 日常就有监控——异常流量、可疑请求、文件被篡改，都能在造成损失前被发现。

这就是网站维护托管的实际内容：它不是"出事了帮你修"，而是把版本管理、补丁响应、备份、监控这些动作变成日常。安全事件平时看不见价值，出事那一刻就是分界线。

五、如果你自己处理不了，怎么办

坦率地说，大部分中小企业没有专职运维，让行政或市场的人去升级 PHP 版本不现实。这种情况下，比较稳妥的路径是：

1. 先按第三节的步骤做自查，至少搞清楚版本号，确认风险等级；

2. 把升级和加固交给懂的人——可以是你的建站公司，也可以是专业的网站维护服务商，让对方先备份、再操作、给升级报告；

3. 如果你的网站已经多年没维护，借这次机会做一次整体体检：PHP 与 CMS 版本、备份机制、管理员口令、有没有被挂过马，一次查清。

锐客网长期为客户提供网站维护托管服务，覆盖 PHP 环境版本管理与升级、漏洞应急响应、日常备份与安全监控。针对本次 PHP 漏洞，我们可以为你的网站做一次版本核查与风险评估，确认是否在受影响范围内，并给出升级或临时防护方案。有需要，打电话 137-9839-1694，或者直接和我们说一声你网站现在的域名就行。

结语

PHP2Shell 这类漏洞还会不断出现，这是互联网的常态，不必恐慌，但也别假装看不见。对企业来说，真正的问题从来不是"这次漏洞怎么办"，而是"我的网站有没有人在管"。一个有人管的网站，漏洞是新闻；一个没人管的网站，漏洞就是事故。