CISA 确认 PHP2Shell 漏洞已被用于攻击，要求美国联邦机构 10 月 29 日前修复

IT之家 10 月 27 日消息，美国网络安全与基础设施安全局（CISA）已将两项“PHP2Shell”高危安全漏洞纳入已被实际利用的漏洞目录（KEV），确认这些漏洞已被攻击者用于真实攻击行为。

CISA 要求美国联邦民事行政机构部门在 10 月 29 日（周四）之前完成修补工作，并检查相关系统是否已被入侵。

本次涉及的漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，均在 2026 年 10 月对外公开披露。

依据 PHP 官方安全公告及网络安全机构提供的信息，这两项漏洞可能让未经身份验证的远程攻击者在受影响的服务器上执行任意代码，风险等级在 CVSS 4.0 体系下均为 9.2 分。

安全研究人员已发现针对 PHP2Shell 漏洞的实战利用活动。安全研究员阿德尔・卡里米（Adel Karimi）通过蜜罐系统捕获了成功远程执行代码的迹象。相关攻击针对运行 Apache mod_php 的 PHP 服务器，表明攻击者已能在特定环境下利用漏洞来执行系统命令。

PHP2Shell 漏洞的风险在于，攻击者可能无需获得目标系统的合法账户权限，即可在特定条件下利用漏洞运行恶意代码。PHP 广泛用于网站与 Web 应用，因此，运行受影响 PHP 版本且直接暴露于互联网的服务器需要优先排查和修复。

PHP 官方已于 10 月 21 日发布安全更新，修复版本涵盖 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。

美国 CISA 此前也发布了安全警报，敦促组织立即安装更新，并优先处理面向互联网的 PHP 系统。对于暂时无法更新的系统，CISA 建议将相关 PHP 服务下线，直到完成修补；无法立即更新的组织还应考虑部署 Web 应用防火墙等临时防护手段。

IT之家提醒，运行 PHP 的网站管理员及企业安全团队应尽快盘点服务器上的 PHP 版本，安装对应安全更新，并检查异常进程、可疑命令执行记录及其他潜在入侵迹象，避免仅完成补丁更新却忽略此前可能已发生的安全事件。