尊敬的 破蜗壳 用户：
针对昨日预警的 PHP 核心远程代码执行（RCE）高危漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell，严重程度 CVSS v4.0 9.2），PHP 官方开发团队及主流 Linux 发行版现已正式发布紧急安全修复补丁。
目前，包括 AWS 威胁情报在内的多家国际安全机构已监测到针对公网 PHP 服务器的自动化在野攻击与公开利用代码（PoC）。破蜗壳 全球 40+ 节点的软件镜像源与系统模板已完成同步更新。为保障您的跨境电商独立站、外贸门户及 API 业务安全，请所有运行 PHP 环境的客户立即执行版本升级。
一、 漏洞内容与已验证受影响范围
-
漏洞编号与评分： CVE-2026-109618（GHSA-w8hw-w9fx-j79w）、CVE-2026-109619（GHSA-6wmf-4rv5-p3rp），官方评定均为 CVSS v4.0 9.2 分（Critical 严重级别）。
-
受影响版本： PHP 5.4 至 PHP 8.5.11 的所有版本。
-
高危业务场景： 安全研究人员已证实该漏洞可直接攻破 WordPress（含 WooCommerce 独立站）、Drupal、Joomla 等主流建站程序。其中，使用 Apache
mod_php模块运行的服务器风险极高，攻击载荷可在进入网站应用层代码前直接触发执行，导致服务器被植入木马、篡改或窃取数据库。
二、 漏洞底层产生原因（现已公开）
根据最新披露的技术细节，两个漏洞均位于 PHP 最核心的 Zend 引擎（Zend Engine） 底层内存管理（Zend MM）与哈希表（HashTable，支撑 $_POST 等超全局数组）处理机制中：
-
CVE-2026-109618（内存耗尽 OOM 导致远程代码执行）： 当恶意请求触发内存超限（Out-of-Memory）时，PHP 会调用
_zend_bailout()执行longjmp()强制跳出当前调用栈，导致内部请求数据结构尚处于未完全初始化状态便残留了旧的堆内存数据。随后的请求清理程序会将这些无效内存误认为合法数据读取并跳转执行，从而实现远程代码执行。 -
CVE-2026-109619（致命错误后释放后重用 UAF 导致远程代码执行）： 在发生致命错误触发
longjmp()异常退出时，部分模块级全局状态（Global State）未被正确重置，依然指向已被释放的单次请求堆内存。当同一个 PHP 工作进程（Worker）继续处理后续请求时，会在正常初始化前读取并执行该已释放内存中的残留状态（Use-After-Free），最终导致远程代码执行。
三、 官方修复补丁版本明细
直接升级 PHP 运行环境是彻底根除该漏洞的唯一方式。请对照以下版本号核查您的服务器：
-
PHP 8.5 分支： 请立即升级至 PHP
8.5.12或更高版本 -
PHP 8.4 分支： 请立即升级至 PHP
8.4.27或更高版本 -
PHP 8.3 分支： 请立即升级至 PHP
8.3.36或更高版本 -
PHP 8.2 分支： 请立即升级至 PHP
8.2.35或更高版本 -
PHP 8.1 及更早版本（如 PHP 7.4 / 8.0）： PHP 官方项目已停止对 8.1 及更早版本的维护，不提供官方源码补丁。但 Ubuntu、Debian、Alpine Linux (3.24) 等 Linux 发行版已陆续向其系统维护的软件包推送向后移植（Backport）安全更新。
四、 破蜗壳 平台修复状态与用户立即升级计划
1. 平台侧已完成动作： 破蜗壳 已完成全球 40+ 数据中心（香港 CN2 GIA、美西洛杉矶、日本东京、新加坡、韩国及欧美节点）上游软件源同步及预设系统镜像更新。新开通的云服务器与独立物理机默认均可直接拉取最新安全补丁。
2. 用户侧四步升级与加固指南（请立即操作）：
-
第一步：操作前创建控制台快照（Snapshot） 请先登录 破蜗壳 控制台，为您的云服务器创建一份最新 快照备份，防止升级 PHP 过程中旧版网站插件出现兼容性报错，确保随时可一键回滚。
-
第二步：按环境类型执行补丁升级
-
Linux 原生包管理器（Ubuntu / Debian / Rocky / AlmaLinux）： 请通过 SSH 登录服务器，执行系统更新命令（如
apt update && apt upgrade或dnf update）拉取最新修复包。更新完成后，必须重启php-fpm与nginx/apache2服务以使内存中的工作进程加载新版本。 -
建站面板用户（宝塔面板 / 1Panel / cPanel）： 请进入面板“软件商店 -> 已安装”，找到对应的 PHP 8.2 / 8.3 / 8.4 / 8.5，点击“更新/小版本升级”至
8.2.35、8.3.36、8.4.27或8.5.12。若仍在使用停止支持的 PHP 7.4/8.0，强烈建议在测试后将网站切换至 PHP 8.2 或 8.3。 -
Docker 与容器化部署用户（极易遗漏！）： 仅更新宿主机系统不会更新容器内部的 PHP 环境。请务必拉取已集成上述修补版本的最新 PHP 基础镜像（如基于 Alpine 3.24 或最新 Debian 的官方镜像），重新构建（Rebuild）并重新部署您的容器实例。
-
-
第三步：官方推荐的请求限制缓解配置（针对暂无法立即停机升级的业务） 如果您因特殊业务原因需等待维护窗口才能升级，请立即结合 PHP 官方与安全厂商建议收紧配置以降低触发 OOM 的风险（注意：此举仅能降低暴露面，不能替代升级补丁）：
-
限制请求体大小： 在
php.ini及 Nginx/Apache 配置中设置保守的请求上限。PHP 官方建议：若网站无需文件上传功能，将post_max_size设为8M；若需文件上传，建议限制在32M以内，防止攻击者发送超大载荷触发内存耗尽（OOM）。 -
拦截非必要的复合表单请求： 若您的接口或站点无需表单文件上传，建议在 Nginx 或 WAF 防火墙中拦截
Content-Type包含multipart/form-data的请求，并限制单次请求的最大参数数量与 Header 长度。
-
-
第四步：排查潜在入侵痕迹 如果您的服务器在补丁升级前曾暴露于公网，请在升级后检查 Web 访问日志中是否存在异常超大 POST 请求，并检查是否有异常的 PHP 工作进程派生外部命令或未知文件改动；一旦怀疑已被入侵，请先隔离实例排查后再恢复上线。
? 平滑迁移提示： 若您的老旧业务运行在 PHP 7.x 且不敢直接在生产环境硬升 PHP 8.3，建议您在控制台临时开通一台 破蜗壳 香港或美西 CN2 GIA 云服务器（标配 70GB NVMe，$8.80/月起，支持按需弹性扩容） 作为隔离测试环境，验证代码兼容性无误后再切换域名解析，实现零停机安全升级。
如有任何升级疑问或需工程师协助排查，请随时通过 破蜗壳 控制台提交工单。
破蜗壳 安全与运维团队
