尊敬的 破蜗壳 用户：
近日，PHP 官方安全团队及多家国际安全机构发布紧急预警，披露了存在于 PHP 核心运行环境中的两个严重安全漏洞（漏洞编号：CVE-2026-109618、CVE-2026-109619，安全社区统称为 php2shell），官方安全评级高达 CVSS v4.0 9.2（严重/Critical）。
由于该漏洞影响范围极广，且利用工具信息已在补丁发布前出现泄露，预计全球范围内的自动化全网扫描将在今日补丁公开后迅速爆发。为保障您在 破蜗壳 部署的跨境电商独立站、外贸门户及各类 Web 业务安全，破蜗壳 安全运维团队特此发布完整风险解析与修复计划。
一、 漏洞内容与影响范围
-
漏洞编号： CVE-2026-109618、CVE-2026-109619（合称
php2shell） -
漏洞类型： 远程代码执行（Remote Code Execution, RCE）
-
核心危害： 未经身份验证的远程攻击者可通过构造恶意请求直接触发漏洞链，使服务器上的 PHP 工作进程（如
php-fpm、php-cgi、apache2或httpd）直接派生系统 Shell（如sh、bash、cmd.exe、powershell.exe）或调用curl、wget下载恶意木马，从而在不登录后台的情况下完全控制您的服务器、窃取数据库或植入挖矿程序与 Webshell。 -
受影响业务： 所有运行 PHP 5.4.0 及以上版本（涵盖 PHP 5.x、7.x、8.x 全系列） 的 Web 服务器均受影响。包括但不限于使用 WordPress、WooCommerce、Magento、Shopware、Laravel、Drupal 搭建的跨境电商独立站，以及内置 PHP 环境的各类主机控制面板（如宝塔面板、1Panel、cPanel、Plesk 等）。
二、 漏洞产生原因
本次漏洞并非源于某个特定的网站主题、插件或业务代码，而是直接存在于 PHP 底层核心解释器（PHP Core Runtime） 中的陈旧逻辑缺陷。 由于漏洞触发点位于 PHP 底层运行环境，恶意请求在进入您的网站应用层代码（甚至部分常规应用层防火墙插件）之前就会被 PHP 解释器处理。这意味着单纯修改网站源码、升级 WordPress 插件或仅依赖普通应用层插件无法彻底根除该风险，必须从服务器底层升级 PHP 运行版本才能彻底修复。
三、 漏洞严重程度与紧急态势（CVSS v4.0 9.2）
PHP 官方将这两个漏洞均评定为 CVSS v4.0 9.2 分（Critical 严重级别）：
-
利用工具提前泄露，攻击窗口极短： 原定于周四披露的漏洞信息及名为
PHP2Shell的利用工具截图已于 10月20日 提前在网络流传，迫使 PHP 官方将补丁发布时间提前至 北京时间 2026年10月21日 22:00（14:00 UTC）。安全团队预计补丁公开后 15 分钟内 即会出现针对公网服务器的大规模无差别攻击。 -
老旧 PHP 版本面临“无官方补丁”绝境： PHP 官方目前仅对处于生命周期支持内的 PHP 8.2、8.3、8.4、8.5 分支提供官方修复补丁（预计修复版本为
8.2.35、8.3.36、8.4.27、8.5.12）。目前已停止官方支持（EOL）的 PHP 8.1、8.0、PHP 7.x（如国内站长常用的 PHP 7.4）及 PHP 5.x 将不会获得 PHP.net 官方补丁。
四、 破蜗壳 平台修复计划与用户自查操作指南
由于 破蜗壳 的云服务器（Cloud VPS）、独立物理机及多 IP 宿主机均为纯净底层交付，您拥有 100% 独立的 root / 管理员最高权限，为避免中断您的生产业务，平台不会在未经授权的情况下强制重启或篡改您的实例内部环境。我们已制定以下分阶段响应计划，请您立即配合执行：
【第一阶段：平台底层保障与镜像更新（进行中）】
-
官方系统镜像同步： 破蜗壳 运维团队将于北京时间今晚 22:00（14:00 UTC） 上游补丁发布的第一时间，全面同步全球 40+ 节点软件源，并更新 Ubuntu、Debian、Rocky Linux、AlmaLinux、CentOS、openEuler、TencentOS 及 Windows 等系统模板库。
-
网络侧防护协同： 平台边缘 DDoS 与流量清洗系统已进入最高警戒状态，并开启全天候工单应急响应通道。
【第二阶段：用户侧紧急修复步骤（请立即执行）】
-
第一步：立即创建服务器快照备份（关键！） 在进行任何 PHP 版本升级或配置修改前，请登录 破蜗壳 控制台，为您的云服务器执行一次完整的 “快照备份（Snapshot）”，并备份您的网站源码与数据库，确保出现兼容性问题时可随时一键回滚。
-
第二步：22:00 补丁发布前的临时缓解措施
-
清点您服务器上所有的 PHP 环境（可在 SSH 终端执行
php -v或dpkg -l 'php*'，并检查 Docker 容器及宝塔/1Panel 多版本共存目录）。 -
临时降低暴露面： 建议在
php.ini或.user.ini（以及面板的 PHP 设置）中将文件上传进度会话功能关闭，即设置session.upload_progress.enabled = 0，保存后重启 PHP 服务。(注：该配置仅作为补丁发布前的临时降险手段，不可替代版本升级)。
-
-
第三步：北京时间今晚 22:00 后立即升级 PHP
-
正在使用 PHP 8.2 / 8.3 / 8.4 的用户： 请在今晚 22:00 后立即通过系统包管理器（
apt update && apt upgrade或dnf update）或您的建站面板软件商店，将 PHP 升级至最新发布的修复版本（8.2.35+/8.3.36+/8.4.27+），升级后务必重启php-fpm与Nginx/Apache服务（Docker 用户请拉取最新基础镜像并重建容器）。 -
仍在使用 PHP 7.4 / 8.0 / 8.1 等老版本的用户： 鉴于官方不再为 8.1 及以下版本提供补丁，强烈建议您在完成快照备份后，将网站 PHP 版本平滑切换至 PHP 8.2 或 8.3；若因老旧商业源码无法立即跨版本升级，请密切关注您所使用的 Linux 发行版官方源是否提供向后移植（Backport）补丁，并在升级前通过防火墙限制后台与非必要接口访问。
-
-
第四步：异常进程入侵排查 请留意服务器 CPU 负载与进程树，重点监控
php-fpm或apache2是否出现异常调用sh、bash、curl、wget的行为；如发现网站根目录出现陌生.php文件或异常计划任务（Cron），请立即断开公网连接并通过控制台 VNC 进行排查。
如您在快照备份、PHP 版本平滑升级或故障救援过程中需要任何协助，请随时通过 破蜗壳 控制台提交技术工单，我们的工程师团队将为您提供 7×24 小时全力支持。
破蜗壳 安全与运维团队
