2026 年 10 月 21 日，PHP 内核（PHP Core）披露了两个严重的远程代码执行（RCE）漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619，统称为 php2shell。这两个漏洞的 CVSS v4.0 评分均为 9.2，可能允许未经身份验证的攻击者执行任意代码、访问敏感数据，或破坏受影响服务的正常运行。
CDNetworks 已迅速采取应对措施，通过其 Web 应用防火墙（WAF）提供针对性的安全防护。
什么是 CVE-2026-109618 和 CVE-2026-109619？
这两个漏洞涉及 PHP 运行时环境中的内存处理缺陷。潜在的漏洞利用方式包括发送经过特殊构造的 HTTP 请求，例如利用 PHP 的 session.upload_progress 功能，通过 multipart/form-data 格式上传文件。
由于这些漏洞存在于 PHP 内核，而非某个特定的应用程序或插件，因此运行受影响 PHP 版本的网站和服务，包括 WordPress、Drupal 及其他基于 PHP 构建的平台，都可能面临安全风险。
CDNetworks 发布专用 WAF 规则，缓解 php2shell 漏洞风险
漏洞披露后，CDNetworks 安全研究团队迅速开展漏洞分析，并验证了相应防护措施的有效性。
CDNetworks 已发布一条专用的 WAF 防护规则（规则 ID：9657），旨在识别并拦截试图利用这些漏洞的恶意请求。
该规则适用于使用 CDNetworks Web 应用防护服务的客户。客户应确认已启用规则 ID 9657，并将 WAF 配置为拦截模式（Block mode），以确保防护措施有效执行。
对于目前仅启用监控模式的客户，建议联系 CDNetworks 技术支持团队，获取启用拦截功能的相关协助。
CDNetworks 将持续监测新出现的漏洞利用手法和威胁情报，并根据攻击模式的变化，及时更新防护规则。
建议采取的防护措施
CDNetworks 建议企业采取以下措施：
-
识别受影响的资产： 检查 Web 服务器、PHP-FPM、Apache、容器镜像、CLI 脚本及长期运行的进程所使用的 PHP 版本，尤其需要关注 PHP 8.1 及更早的已停止支持版本。
-
应用安全补丁： 根据实际使用的 PHP 版本，升级至已修复漏洞的最新版本，包括 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35。
-
验证修复效果： 重启受影响的服务，并在必要时重新构建容器镜像，确认生产环境中实际运行的 PHP 版本。需要注意的是，通过
php -v命令查看的版本可能与实际处理 Web 请求的 PHP 版本不同。 -
加强临时防护措施： 对于无法立即安装补丁的系统，应限制不必要的公网访问，并确保 CDNetworks WAF 已启用拦截模式（Block mode）。不应依赖
disable_functions和open_basedir等 PHP 配置项作为有效缓解这些漏洞的措施。
WAF 防护有助于降低遭受漏洞利用攻击的风险，但要彻底修复这些漏洞，仍必须将 PHP 运行时环境升级至已安装安全补丁的版本。
CDNetworks 安全研究团队将持续关注这些漏洞的最新动态，并不断完善安全防护措施，帮助客户保障应用程序的安全。
如需进一步协助，请联系您的 CDNetworks 客户经理或技术支持团队。