一、什么是 PHP2Shell

2026年10月21日，PHP 官方紧急发布四个修复版本，一次性修补了两个位于 PHP 解释器内核的超危远程代码执行漏洞，被安全业界统称为 PHP2Shell，编号 CVE-2026-109618 与 CVE-2026-109619，CVSS 评分均达到 9.2 分（满分 10 分）。

与常见的插件漏洞不同，这两个漏洞不在某个网站的代码里，而在 PHP 自身的内核。只要服务器跑的是受影响版本的 PHP，攻击者无需账号、无需密码，仅凭一个精心构造的网页请求，就可能触发内存破坏并在服务器上执行任意代码。

二、为什么和你我有关

据 W3Techs 统计，在能识别服务器端编程语言的公开网站中，约 69.3% 使用 PHP。从个人博客、企业官网、电商页面到政务系统，背后大概率都有 PHP 的影子。漏洞细节在官方更新发布前就已泄露，全球攻击尝试在数小时内从数千次飙升至数百万次，多国政府网站一度紧急下线。

这意味着，任何使用 PHP 建站的企业，都可能暴露在风险之下，哪怕你自己的代码写得再规范，也拦不住运行环境本身的缺陷。

三、企业官网该怎么做

  • 第一时间升级 PHP：将 PHP 升级到官方修复版本（8.2.35、8.3.36、8.4.27、8.5.12 及以上），这是目前唯一有效的根治手段。
  • 清点资产：排查所有服务器、虚拟主机、被遗忘的旧站点与第三方供应商门户，确认是否运行受影响版本。
  • 建立补丁节奏：把发现即修变成例行动作，而不是等出事才动。
  • 备份与监控：保持定期备份，并开启异常请求监控，缩短被攻破后的响应时间。

四、把安全交给专业的人

对企业来说，最稀缺的不是补丁，而是持续跟进漏洞、定期维护的人力。元创全景在为企业提供官网建设、搜索收录与日常运维的过程中，把环境版本体检、及时打补丁、异常监控纳入标准服务，让官网不只建得漂亮，更跑得安心。如果你的站点长期无人维护，不妨借此机会做一次全面的安全体检。