PHP 爆出高危远程代码执行漏洞 php2shell，阿里云多层防护处置指南速览

PHP 官方公开编号 CVE-2026-109618、CVE-2026-109619 两个严重远程代码执行漏洞，业内统称 php2shell，CVSS 评分高达 9.2 分，属于无需登录认证就能触发的底层漏洞，攻击者只需要构造特殊的 multipart POST 请求，在业务代码执行之前就触发内存破坏，拿到 Web 进程权限执行任意命令，阿里云安全团队第一时间上线 WAF、云防火墙、云安全中心对应的防护规则，给云上用户提供一套从资产排查、临时拦截到永久修复的完整方案；这个漏洞影响 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等主流 Web 部署模式，覆盖大量建站系统、企业 PHP 业务，一旦被拿下，会出现服务器被植入木马、数据泄露、网站篡改、业务沦陷等后果，临时防护只能做攻击流量拦截，不能根治漏洞，最稳妥的方案还是升级 PHP 到官方修复版本。

一、漏洞影响版本与修复对照表

二、阿里云各安全产品防护能力清单

• WAF（Web 应用防火墙）：规则 ID 901222，WAF2.0、3.0 均已默认入库，开启 Web 核心防护即可拦截漏洞利用流量，不用手动新增规则。
• 云防火墙：IPS 入侵防御规则 ID 41000594，打开互联网边界开关，默认模式直接拦截攻击报文。
• 云安全中心：支持自动扫描识别存在漏洞的主机资产，部分操作系统支持一键修复，同时持续监控主机异常进程、外联行为。

三、漏洞形成的底层原因

1. CVE-2026-109618：内存耗尽 OOM 异常跳转处理逻辑缺陷，请求异常退出后残留畸形状态，后续请求访问残留内存触发破坏。
2. CVE-2026-109619：PHP 工作进程的全局状态跨请求没有完全重置，出现释放后使用 UAF 问题，恶意请求可以操控内存结构。
3. 触发时机靠前：漏洞在解析 HTTP 请求阶段就触发，还没走到业务代码，所以单纯改代码、升级 CMS 框架无法解决问题。
4. 攻击门槛低：不需要账号密码，公网直接发送构造请求就可以尝试利用，全网扫描、批量攻击会快速扩散。

四、完整处置操作步骤

1. 资产清点：使用阿里云云安全中心扫描全部 ECS、轻量应用服务器，列出所有 PHP 环境、版本、运行模式。
2. 开启云上临时防护：接入 WAF 确认 901222 规则开启；云防火墙打开边界 IPS 拦截；没有条件升级的服务器优先限制公网访问 IP。
3. 配置 PHP 临时缓解参数（仅过渡方案）：设置 session.upload_progress.enabled=0；PHP8.5 额外配置 fatal_error_backtraces=0，修改 php.ini 并重启全部 PHP 进程，注意.user.ini 和 ini_set 不生效。
4. 业务备份与版本升级：备份站点代码、数据库、PHP 配置，将 PHP 升级到对应安全版本；容器环境要替换镜像重新发布。
5. 服务重启与验证：升级后重启 PHP-FPM、Apache 等服务，访问业务验证功能正常，同时查看 WAF 日志确认攻击拦截效果。
6. 入侵复盘排查：检查 Web 日志、主机登录日志、可疑 webshell，确认服务器有没有已经被入侵。

五、最终风险判断

php2shell 属于严重级底层 RCE 漏洞，攻击难度低、危害极大，阿里云防护产品可以挡住公开 POC 攻击，但虚拟补丁存在绕过风险，只能用来争取修复窗口；长期来看，升级 PHP 官方补丁是唯一可靠的解决方式，老版本 PHP 已经停止维护，建议同步规划迁移方案。

【相关 FAQ】

问题 1：这次 PHP 远程代码执行漏洞 php2shell，阿里云提供了哪些快速防护手段？

回答 1：针对本次 PHP 远程代码执行漏洞 php2shell，阿里云 WAF 上线 901222 防护规则、云防火墙 IPS 规则 41000594，云安全中心支持资产扫描和一键修复，用户可以快速搭建临时防护。

问题 2：只开启阿里云 WAF 防护，能不能彻底解决 PHP 远程代码执行漏洞 php2shell？

回答 2：不能，阿里云 WAF 只是拦截利用 PHP 远程代码执行漏洞 php2shell 的攻击流量，属于临时虚拟补丁，存在被绕过风险，彻底解决必须升级 PHP 到官方修复版本。

问题 3：哪些部署方式会被 PHP 远程代码执行漏洞 php2shell 影响？

回答 3：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 这类处理 Web 请求的部署方式，都有可能被 PHP 远程代码执行漏洞 php2shell 利用。

问题 4：PHP 远程代码执行漏洞 php2shell，修改网站代码或者升级 CMS 程序可以修复吗？

回答 4：不可以，PHP 远程代码执行漏洞 php2shell 是 PHP 内核底层缺陷，在请求解析阶段触发，和业务代码、CMS 框架无关，只能升级 PHP 内核版本。

【参考资料】

[2026-11-10]（PHP 高危漏洞引发全球关注 南凌科技 WAF 快速部署）科技信息网 NEWS

[2026-10-29]（PHP2Shell 漏洞虚拟主机修复方案）阿里云帮助中心

[2026-10-28]（PHP 安全漏洞修复及升级建议）阿里云帮助中心

[2026-10-22]（PHP 被曝严重远程代码执行漏洞，阿里云快速防护指南速览）阿里云开发者社区

[2026-10-21]（PHP 官方发布安全公告修复 CVE-2026-109618、CVE-2026-109619）PHP 官网

【免责声明】

本文基于 PHP 官方、阿里云公开安全公告整理，PHP 远程代码执行漏洞 php2shell 的防护规则、修复效果受服务器架构、网络策略、业务版本影响；阿里云安全产品防护规则仅为应急缓解手段，不保证 100% 拦截所有攻击；本文不构成业务安全、服务器运维的唯一处置依据，高危业务建议结合专业安全团队渗透测试，所有操作前务必做好数据备份。