安全公告与实战复盘

安全博客

记录真实漏洞、处置决策、可复用工具与可回滚的修复过程。

PHP 安全 CVSS v4.0 9.2

发布于 2026-10-22

PHP2Shell 紧急响应：两个 CVSS 9.2 的 PHP 远程代码执行漏洞

2026 年 10 月 21 日，PHP 在 14:00 UTC 发布紧急修复。我们从公告核实、香港生产节点排查、版本升级，到 Linux/Windows 自动检查与可回滚修复工具，完整记录这次响应。

严重级别CVSS v4.0 9.2 / 严重

处置状态香港节点已升级并复核

约 10 分钟CVE-2026-109618
CVE-2026-109619

升级 WordPress、Laravel 或插件不能修复漏洞，必须升级 PHP 运行时。

FPM、Apache、IIS 和容器中的旧 worker 不会因为软件包更新自动消失。

脚本备份只覆盖它管理的 PHP；整机快照仍是首选回滚。

本次响应工具

扫描器只做无害版本与配置盘点；服务器修复脚本默认只检查，修复前要求三次确认并生成回滚文件。

HTTP 扫描看不到隐藏版本；不能把“未识别”当作“安全”。