PHP 现高危远程代码执行漏洞 "php2shell"，腾讯云安全产品已全面支持检测与防护

PHP 现高危远程代码执行漏洞 "php2shell"，腾讯云安全产品已全面支持检测与防护

一、漏洞概况

近日，腾讯云安全中心监测到 PHP 被披露存在远程代码执行漏洞，漏洞编号为 **CVE-2026-109618** 与 **CVE-2026-109619**，代号 **"php2shell"**。

该漏洞危害极高：

• **触发方式**：未经身份验证的远程攻击者仅需向存在漏洞的 PHP 服务发送**特制的 multipart POST 请求**，无需任何账号或口令；
• **漏洞机理**：请求可触发 PHP 底层内存破坏，进而实现**远程代码执行（RCE）**；
• **最终影响**：攻击者可完全控制服务器，窃取数据、植入后门、勒索加密，或以服务器为跳板横向渗透内网。

凡是使用 PHP 对外提供 Web 服务、且允许 multipart/form-data 上传的场景（绝大多数 PHP 网站均符合），均处于风险范围内。php2shell 这一代号也直观地说明了后果：PHP 服务直接沦陷为攻击者的 Shell。

官方通告：

【安全通告】PHP "php2shell" 远程代码执行漏洞风险通告（CVE-2026-109618, CVE-2026-109619）：https://cloud.tencent.com/announce/detail/2525

【EdgeOne】关于针对 PHP 核心远程代码执行漏洞的防护公告：https://cloud.tencent.com/announce/detail/2526

二、腾讯云如何第一时间发现漏洞

腾讯云安全团队依托**腾讯云威胁情报体系**，通过多源情报联动实现快速发现与响应：

1. **全网漏洞情报监测**：腾讯云安全运营中心持续跟踪 PHP 官方、安全社区及全球蜜罐网络的异常流量，第一时间捕获到针对 multipart POST 的异常利用行为；
2. **云端大数据分析**：基于腾讯海量真实攻防数据，安全专家复现并确认了 "php2shell" 的利用链，评估其漏洞等级与影响面；
3. **快速产品化响应**：确认漏洞后，腾讯云多条产品线同步行动——

• **主机安全（CWP）** 率先上线漏洞检测能力，可精准识别云上存在风险的主机；
• **Web 应用防火墙（WAF）**、**云防火墙（CFW）** 同步发布虚拟补丁与防护规则；
• **边缘安全加速平台（EdgeOne）** 发布防护公告并上线针对性拦截规则。

这意味着：**漏洞披露即防护**——即使业务来不及立即升级，腾讯云的边界防护产品也已在攻击流量到达业务前完成拦截。

三、如何修复漏洞（最优先）

**版本升级是根治手段。** 请尽快前往 PHP 官方网站下载更新至已修复版本：

• PHP 官方下载地址：https://www.php.net/downloads.php

升级建议按以下步骤操作，避免业务中断：

# 1. 确认当前 PHP 版本，评估是否在受影响范围

php -v



# 2. 备份现有环境与配置

cp /etc/php.ini /etc/php.ini.bak.$(date +%F)



# 3. 升级 PHP（以 CentOS / yum 为例，使用包含修复版本的源）

yum update php php-cli php-fpm php-common



# 4. 重启 PHP 服务并验证版本

systemctl restart php-fpm

php -v

• 使用**镜像/容器部署**的用户，请拉取官方已修复的新镜像并重建容器；
• 使用**宝塔、云编译环境**等面板的用户，请在面板中升级 PHP 至官方修复版本后重启服务；
• 升级后建议在预发环境完成回归验证，再切换生产流量。

四、使用腾讯云产品构建"检测—防护—修复"闭环

单靠升级无法覆盖所有场景（停机窗口、遗留系统、升级失败回滚等），腾讯云提供覆盖漏洞全生命周期的产品组合：

1. 漏洞检测 —— 腾讯云主机安全（CWP）

主机安全**已支持 "php2shell" 漏洞检测**，可自动盘点资产中受影响的 PHP 实例：

• 登录 主机安全控制台，在「漏洞管理」中查看该漏洞的资产影响面；
• 对未安装 Agent 的主机一键安装，实现全量资产纳管；
• 开启漏洞告警通知，后续新漏洞披露时第一时间获知。

产品地址：https://cloud.tencent.com/product/cwp

2. 漏洞防护 —— 三层边界拦截，升级前的"虚拟补丁"

在完成版本升级前，利用腾讯云边界产品先行拦截攻击流量：

| 产品 | 部署位置 | 防护能力 |

| --- | --- | --- |

| **Web 应用防火墙（WAF）** | Web 业务入口 | 已支持对该漏洞的攻击规则防护，精准识别并拦截特制 multipart POST 攻击载荷 |

| **云防火墙（CFW）** | VPC 南北向/东西向边界 | 已支持防护，在流量层拦截利用请求，并可控制内网横向风险 |

| **EdgeOne 边缘安全加速平台** | 全球边缘节点 | 已发布针对性防护公告与拦截规则，在离攻击源最近的边缘完成清洗 |

三者可按业务架构选择或叠加使用：公网 Web 业务优先开启 **WAF**；有 VPC 级流量管控需求的叠加 **CFW**；使用 EdgeOne 接入的站点升级规则即自动生效。

产品地址：

WAF：https://cloud.tencent.com/product/waf

云防火墙：https://cloud.tencent.com/product/cfw

EdgeOne：https://cloud.tencent.com/product/teo

3. 漏洞修复 —— 分级推进，闭环验证

建议按"资产盘点 → 分级修复 → 复测确认"三步走：

1. **资产盘点**：通过主机安全（CWP）导出受影响主机清单，按业务重要性排序；
2. **分级修复**：

• 高危暴露面（公网可直接访问的 PHP 服务）→ 立即升级 + 开启 WAF/EdgeOne 防护；
• 内网系统 → 评估停机窗口后升级，同时用云防火墙限制访问来源；
• 短期无法升级的遗留系统 → 保持防护规则开启，并通过安全组最小化开放端口；

1. **复测确认**：修复完成后在 CWP 控制台发起漏洞复测，确认风险已消除，并在安全运营中心归档闭环。

五、总结

"php2shell"（CVE-2026-109618 / CVE-2026-109619）是一类典型的"无需认证、直接 RCE"的高危漏洞，攻击成本极低、危害极大。面对此类漏洞，最佳实践是：

**升级为根治，防护保平安，检测做闭环。**

腾讯云安全中心已在漏洞披露的第一时间完成情报捕获与产品化响应：主机安全（CWP）支持检测定位受影响资产，WAF / 云防火墙 / EdgeOne 提供边界虚拟补丁，配合官方版本升级，帮助用户构建覆盖"检测—防护—修复"全生命周期的安全闭环。

建议所有使用 PHP 的腾讯云用户：**立即登录控制台排查受影响资产，开启防护规则，并尽快完成版本升级。**