SK Shieldus发布PHP2Shell漏洞报告 建议升级PHP并重启进程

据bloter.net报道，SK Shieldus于2026年11月7日发布安全报告，对PHP内存管理漏洞PHP2Shell进行分析。报告指出，CVE-2026-109618和CVE-2026-109619两个漏洞均可导致远程代码执行，并建议用户升级PHP，同时重启所有PHP工作进程。

报告说明，这两个漏洞源于PHP内存管理在内存耗尽（OOM）状态下请求异常终止的问题。其中CVE-2026-109619利用的是同一PHP工作进程在处理后续请求时复用先前请求残留内存所引发的释放后使用（use-after-free）条件，而默认启用的session.upload_progress文件上传进度功能被用作该漏洞的攻击路径。

CVE-2026-109618则在内存耗尽后初始化失败的请求关闭阶段触发，可造成任意代码执行。SK Shieldus在PHP 8.4.26与Apache网页服务器的测试环境中复现了该漏洞，在未通过身份验证的情况下取得了具有网页服务器权限的反向Shell。

受影响版本为PHP 8.2.34及以下、8.3.35及以下、8.4.26及以下、8.5.11及以下，以及已停止维护的PHP 8.1及更早版本。修复版本为PHP 8.2.35、8.3.36、8.4.27和8.5.12或更高版本。

漏洞披露与网络暴露情况

这两个漏洞于2026年10月披露。据W3Techs统计，截至2026年10月23日，在可识别服务器端语言的网站中，有69.3%使用PHP。11月3日，Kaspersky发布分析并援引Censys的调查称，在网络上检测到的4600万个存在漏洞的PHP服务中，有2900万个在补丁发布后仍运行着存在漏洞的版本。