AI 发现网络骨干中的关键漏洞 PHP2Shell 是最近在核心 PHP 中修复的一系列关键漏洞，严重性达到 CVSS 9.2，可以让未经身份验证的攻击者执行代码或泄露敏感进程内存。PHP 支持约 70% 的网站，包括 WordPress、Drupal 和维基百科的 MediaWiki 等平台。 研究与负责任的披露：Wiz Research — Sagi Tzadik、Shir Tamari、Nir Ohfeld 和 Tomer Schwartz；OpenAI Codex Security — Amy Burnett；Calif — Ryan A。 什么是 PHP2Shell？ PHP2Shell 是核心 PHP 中内存安全漏洞的一系列。它由两个相关的漏洞类别组成，记录为两个 CVE：由于内存不足处理造成的损坏，以及存活于请求之间的陈旧全局状态。漏洞代码就在 PHP 本身中。即使其应用代码是安全的，网站也可能受到影响，包括在受影响的 PHP 版本上运行的简单 "Hello World" 应用程序。运行最新修补 PHP 版本的网站是受保护的。PHP 团队以卓越的速度和专业精神回应了这些报告，与研究人员紧密合作，提供全面的修复。 WordPress、Drupal 和 Joomla 是用于演示未经身份验证的远程代码执行的代表目标。利用不需要这些应用程序之一。 ~ 70% 的网站使用 PHP PHP 支持约 70% 的网站，PHP 是 WordPress、Drupal 和 MediaWiki 的编程语言，这些软件支持维基百科。其核心引擎中的漏洞可能影响该生态系统内的网站。 攻击者可以做什么 在受影响的服务器上执行代码而无需身份验证，可能控制服务器、访问敏感数据、进行横向移动或篡改其网站。 读取敏感的 PHP 进程内存，包括密码、身份验证令牌、API 密钥和属于其他请求或服务器本身的证书。 通过内存泄露窃取敏感数据，而无需首先获得远程代码执行。这可能使得使用专注于恶意代码执行的工具检测这些活动变得更加困难。 我们展示了针对 WordPress、Drupal 和 Joomla 的远程代码执行，使用的是测试时的最新容器镜像。我们还展示了与应用无关的内存泄露。 PHP2Shell 的实际操作 观看 PHP2Shell 自动识别每个应用并在受控测试环境中演示预身份验证命令执行。下载 WordPress 演示视频。 WordPress 预身份验证 RCE 演示下载 下载 Drupal 演示视频。 Drupal 预身份验证 RCE 演示下载 下载 Joomla 演示视频。 Joomla 预身份验证 RCE 演示 这些漏洞 研究确定了核心 PHP 中两个相关的漏洞类别：内存不足的损坏和请求之间的陈旧全局状态。它们分别记录为 CVE-2026-109618 和 CVE-2026-109619，严重性为 CVSS 9.2。 CVE 漏洞 攻击者可以实现的目标 我们演示的内容 CVE-2026-109618 内存不足 (OOM) 损坏 以 PHP 网络工作者的身份在没有身份验证的情况下执行代码 在 WordPress、Drupal 和 Joomla 上的预身份验证 RCE CVE-2026-109619 请求之间的陈旧全局状态 触发使用后释放以泄露工作者内存或执行代码 在 WordPress 和 Drupal 上的预身份验证 RCE；与应用无关的远程内存泄露 这些漏洞类别包括多个攻击路径，具有不同的利用需求和影响。通过应用程序级别的代码路径确认了 PHP-FPM RCE。PHP 团队的修复地址了根本故障模式，而不仅仅是演示的路径。 升级 PHP 在每个运行时安装固定的 PHP 版本，然后重启 Apache、PHP-FPM 和任何长期运行的 PHP 工作者。这是唯一的完整修复。更新应用程序不会更新其下的 PHP 运行时。官方 PHP 版本可从 php.net 获取。下游发行版将通过其正常更新渠道提供相应的包更新。 受影响和首次修复的 PHP 发布版本按分支 PHP 分支 受影响版本 首次修复发布 8.2 < 8.2.35 8.2.35 8.3 < 8.3.36 8.3.36 8.4 < 8.4.27 8.4.27 8.5 < 8.5.12 8.5.12 如果您无法立即升级 升级 PHP 是唯一的完整补救方案。以下措施可能会减少特定利用路径的暴露，同时您准备升级，但它们并不解决每种变体。某些措施可能会影响应用程序功能、性能或可用性。根据应用程序的要求测试配置更改，并尽快应用 PHP 安全更新。 考虑禁用 PHP 的有限内存限制 将 memory_limit = -1 可以防止某些依赖 PHP 内存限制处理的攻击路径，但它将内存耗尽处理转移给操作系统。使用此配置，内存...