一、公告概述
近期 PHP 官方披露 PHP 解释器高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，行业俗称 PHP2Shell），CVSS 评分 9.2，属于严重级别内存破坏漏洞（Use-After-Free）。攻击者构造特殊请求即可尝试触发漏洞，在无需账号密码的条件下实现代码执行；目前公开 POC 已流出，公网攻击风险持续上升。
⚠️ 重点说明：该漏洞属于 PHP 底层内存缺陷，不依赖 exec/system/shell_exec 等系统命令函数，PHP 层面禁用危险函数无法阻止漏洞触发。
主机为 Windows Server 2025 + IIS 架构，已经配置多层隔离防护以降低入侵后的扩散风险，但防护策略不能替代官方补丁升级，请各位客户根据自己主机类型及时评估风险并整改。
二、漏洞详情
漏洞编号：CVE-2026-109618、CVE-2026-109619
漏洞类型：Use-After-Free 内存错误，远程代码执行（RCE）
风险等级：严重
利用条件：公网可直接尝试利用，支持 FastCGI、PHP-CGI 等主流运行模式
原理简述：PHP 在处理请求内存限制相关逻辑时，内存释放后状态未正确重置，造成内存损坏，可被劫持执行恶意指令。
三、受影响版本 & 安全版本
✅ 受影响版本：
PHP 8.2.x ＜ 8.2.35
PHP 8.3.x ＜ 8.3.36
PHP 8.4.x ＜ 8.4.27
PHP 8.5.x ＜ 8.5.12
PHP 8.1 及更早版本（含 5.2~7.4）官方早已停止维护，不会发布本漏洞的官方补丁
✅ 安全版本（已修复该漏洞）：PHP 8.2.35、8.3.36、8.4.27、8.5.12
✅ 主机已完成上述全部安全版本上线部署
四、主机各产品线 PHP 版本范围说明
特价主机：支持 PHP 5.2 ~ 7.4
全部版本均已停止官方维护，不存在官方补丁，本漏洞风险长期存在。
香港空间 / 高防空间：支持 PHP 5.2 ~ 8.2
现已上线安全版 PHP 8.2.35；5.2~7.4 无官方补丁。
金牌空间：支持 PHP 5.2 ~ 8.5（本次新增支持 PHP8.5）
现已上线安全版 PHP 8.2.35、8.3.36、8.4.27、8.5.12；5.2~7.4 无官方补丁。
五、我方平台现有安全防护说明
平台统一采用 Windows Server 2025 + IIS 架构，默认执行如下安全策略，用于缩小攻击成功后的危害范围，防止单站点被攻陷后横向传染同服务器其他客户：
每个网站分配独立低权限 Windows 用户，独立 IIS 应用程序池，进程权限隔离；
NTFS 目录 ACL 严格隔离，站点之间默认无法互相读取网站目录；
全部 PHP 版本默认禁用高危函数：exec,system,passthru,popen,pclose,shell_exec,proc_open,dl,chmod,escapeshellarg,escapeshellcmd,sh2_exec,proc_terminate,pcntl_setpriority,pcntl_getpriority,pcntl_signal,pcntl_fork,apache_setenv,imap_open,syslog,openlog,pcntl_exec；
服务器部署企业杀毒软件，对落地型后门、恶意文件进行查杀；
高防 / 香港线路附带 WAF，已添加针对该漏洞已知 Payload 的拦截规则。
⚠️ 重要提醒：上述策略是入侵后的隔离兜底，不是漏洞免疫方案。就算开启全部防护，只要使用存在漏洞的 PHP 版本，攻击者依然有机会尝试触发漏洞；WAF 规则仅拦截已知 EXP，无法防御变形绕过载荷。只有升级到官方修复后的 PHP 版本，才是根治手段。
六、我们这边的处置安排
金牌空间：已全线部署安全版本 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12，面板可自由切换，新增 PHP8.5 供客户选用；低于对应安全版本的旧版 PHP 仍然存在漏洞。
香港 / 高防空间：已上线安全版本 8.2.35，客户可在面板切换；8.2.35 及以上才修复漏洞。
特价主机：最高仅支持 7.4，无官方补丁，无法通过版本升级修复本漏洞。
所有产品中 PHP5.2~7.4：无官方补丁，无法根治，仅依靠平台隔离 + WAF + 杀毒做风险缓解。
切换 PHP 版本为在线操作，切换过程 PHP 进程会重启，可能出现短暂 502，属于正常现象。
安全团队持续审计服务器访问日志，发现异常攻击、疑似入侵行为会第一时间通知对应客户。
七、客户操作指引（按优先级）
1、确认自己主机类型和当前 PHP 版本
登录主机控制面板查看产品类型与正在使用的 PHP 版本。
2、优先根治方案（推荐）
金牌空间：推荐切换 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（新增 8.5 可选）
香港 / 高防空间：切换至 PHP 8.2.35
切换前请自行备份网站代码 + 数据库，部分老旧程序、插件存在 PHP 版本兼容性风险，建议先测试。
3、特价主机 / 坚持使用 5.2~7.4 老 PHP 的客户（无补丁，只能缓解）
无法通过升级 PHP 修复漏洞，请自行叠加以下加固手段降低风险：
网站程序、插件、模板全部保持最新，及时修补程序自身漏洞；
清理网站内未知后门、可疑 PHP 文件，禁止上传可执行 PHP 文件；
非必要后台管理地址增加 IP 白名单，限制外网访问；
定期备份代码与数据库，做好应急回滚方案；
尽量不存放高价值业务、核心业务在该类老 PHP 环境主机上。
4、入侵自查（所有客户都建议执行）
检查网站目录近期新增、被修改的 PHP 文件；
检查是否存在图片马、隐藏后门；
核查后台管理员账号、数据库账号是否存在陌生登录；一旦确认被入侵，请立即暂停站点、清理后门、重置全部密码。
八、常见问题说明
Q：你们已经禁用危险函数、独立低权限池，是不是就安全了？A：不能免疫本次漏洞。禁用函数只能防御普通 WebShell 调用系统命令；该漏洞直接在 PHP 进程底层劫持执行流，绕过 PHP 函数限制。独立低权限账号的作用是：就算被拿下，也只能局限在单个站点权限，很难横向渗透其他客户站点或者直接拿下服务器。
Q：我的是特价主机，最高只有 PHP7.4，是不是一定会被攻破？A：不是一定会被攻击成功，但是没有官方补丁，存在可被利用的攻击面，风险远高于新版修复后的 PHP，不适合存放重要业务。
Q：WAF 高防能不能完全挡住这个漏洞？A：WAF 只能拦截已经公开的 POC 特征，攻击者很容易修改 payload 绕过，仅作为临时缓解，不能替代补丁。
Q：升级 PHP 之后网站打不开、报错怎么办？A：在面板切回原 PHP 版本，先适配程序兼容性，同时继续做好其他安全加固。
Q：金牌空间新出的 PHP8.5 是修复好漏洞的版本吗？A：是的，本次上线的 PHP8.5 版本为 8.5.12 安全版，已经修复该漏洞。
九、整改时限与联系渠道
👉 建议整改时限：使用 8.2/8.3/8.4/8.5 漏洞旧版本的客户，请在3 个工作日内切换至安全版本；核心业务优先处理。特价主机等无法升级的老 PHP 客户，请尽快评估业务风险，必要时迁移至金牌空间使用新版 PHP。技术支持渠道：主机后台提交工单、在线客服紧急对接。
十、免责提示
本次漏洞为 PHP 官方解释器原生漏洞，不属于平台架构缺陷。平台已经按标准实施权限隔离、函数禁用、WAF、杀毒等防护措施。客户如果持续使用存在漏洞、无补丁的 PHP 版本，由此引发网站入侵、数据篡改、数据丢失等安全事件，相关风险与损失由业务使用方自行承担。
安全无小事，请各位客户根据自己主机类型评估风险，及时做好安全处置。