CISA 确认 PHP2Shell 漏洞已被用于攻击，要求美国联邦机构 10 月 29 日前修复

CISA 已将两项“PHP2Shell”高危安全漏洞纳入已遭利用漏洞目录（KEV），确认这些漏洞已被黑客用于实际攻击。

CISA 要求美国联邦民事行政部门机构在 10 月 29 日（周四）前完成修复，并检查相关系统是否已被入侵。

涉及的漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，这两项漏洞均于 2026 年 10 月公开披露。

根据 PHP 官方安全公告和网络安全机构发布的信息，这两个漏洞可能使未经身份验证的远程攻击者在受影响的服务器上执行任意代码，风险评级均为 CVSS 4.0 体系下的 9.2 分。

安全研究人员已发现针对 PHP2Shell 漏洞的实际利用活动。安全研究员阿德尔・卡里米（Adel Karimi）通过蜜罐系统捕获了成功远程执行代码的证据。相关攻击针对运行 Apache mod_php 的 PHP 服务器，表明攻击者已能在特定环境下利用漏洞执行系统命令。

PHP2Shell 漏洞的风险在于，攻击者可能无需获取目标系统的合法账户权限，即可在特定条件下利用漏洞执行恶意代码。PHP 广泛用于网站和 Web 应用程序，因此，运行受影响 PHP 版本且直接暴露于互联网的服务器需要优先排查和修复。

PHP 官方已于 10 月 21 日发布安全更新，修复版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。

美国 CISA 此前也曾发布安全警报，敦促组织立即安装更新，并优先处理面向互联网的 PHP 系统。对于暂时无法更新的系统，CISA 建议将相关 PHP 服务下线，直至完成修复；无法立即更新的组织还应考虑部署 Web 应用防火墙等临时防护措施。

IT之家提醒，运行 PHP 的网站管理员及企业安全团队应尽快盘点服务器上的 PHP 版本，安装对应安全更新，并检查异常进程、可疑命令执行记录及其他潜在入侵迹象，避免仅完成补丁更新却忽略此前可能发生的安全事件。