lao1 me
搜索
首页/日常

PHP 最新零日漏洞怎么没人讨论

6725
  • loserc6
    loserc64天前
    3721

    好多业务都还在 php7 环境跑呐 这下官方都不支持修补 完蛋了```
    [紧急安全预警] 关于 PHP2Shell (CVSS 9.2) 核心级 RCE 漏洞的修复指南

    尊敬的客户：

    您好！针对即将在北京时间 10 月 21 日（周三） 22:00 公开的 PHP 核心严重安全漏洞，我们在此向您发布最高级别的安全预警。

    据国际安全机构 Sansec 披露，此次爆发的漏洞被称为 PHP2Shell 。目前该漏洞的自动化利用工具截图已在安全社区泄露，预计官方补丁发布后 15 分钟内，全网将出现大规模的无差别扫描与攻击。

    漏洞核心情报
    漏洞代号/编号：PHP2Shell (CVE-2026-109618, CVE-2026-109619)

    危险等级：CVSS 9.2 （极度危险）

    漏洞类型： 远程代码执行（ RCE ），攻击者可直接接管服务器获取 Shell 。

    受影响版本：PHP 5.4 及以上所有版本。Magento 、Shopware 、WooCommerce 等电商系统及各类 CMS 将受严重威胁。

    补丁发布时间： 北京时间 10 月 21 日（周三） 22:00 （ 14:00 UTC ）

    ⚠️ 核心警告：无法在代码层防御
    该漏洞存在于 PHP 的底层架构中。这意味着任何代码级别的修改、面板加固或常规的应用层防护插件都无法拦截此攻击。防御的唯一有效方式是在服务器基础设施层面（环境底层）直接更新 PHP 版本。

    紧急应对与修复建议
    官方将仅为 PHP 8.2 、8.3 、8.4 和 8.5 发布修复补丁。请您立即采取以下行动：

    1. 正在使用 PHP 8.2 - 8.5 的用户（需今晚紧急操作）：

    随时待命： 请通知您的运维团队在今晚 22:00 前做好准备。

    抢占黄金 15 分钟： 补丁一旦发布，请务必在第一波自动化攻击到来前，通过包管理器（ apt/yum ）或重新编译升级 PHP ，并立刻重启相关服务（ Nginx/Apache/PHP-FPM ）。

    2. 正在使用 PHP 8.1 及以下旧版本（含 5.6 、7.x 等）的用户：

    官方已明确不会为这些版本发布补丁。继续使用这些版本将让您的服务器完全裸露在 PHP2Shell 的攻击火力之下。

    短期缓解： 立即排查并收紧服务器安全组及防火墙（ iptables/firewalld ）策略，开启高级别 WAF ，并在 php.ini 中禁用高风险命令执行函数。

    长期建议： 请即刻安排业务环境迁移，将底层升级至受官方支持的 PHP 8.2+ 版本。
    ```图片

    主楼
  • EmptyDX
    EmptyDX4天前
    2068

    那就升级

    #1
  • hhacker
    hhacker4天前
    2221

    这个感觉怪怪的, 就算不披露漏洞细节, 补丁不是应该提前发吗? 这样定闹钟提醒别人打补丁是不是意味着在闹钟响之前所有跑在 php 下的系统都是 100%可入侵的,拿着 0day 的人想做什么做什么.

    #2
  • ucaime
    ucaime4天前
    3920

    好消息：暂时还没发现被攻击的迹象
    坏消息：用的 PHP8-，而且因为历史原因很难直接升级上来~

    看起来是时候把以前的一堆 php 老服务用 AI 重构一遍了。。。

    这个漏洞看描述影响面会非常大，考虑到存量 PHP 应用的规模，以及最近几年很多老的 PHP 业务系统被遗忘、边缘化、没人维护等等一系列问题。一旦漏洞的修复出来，通过逆向或其他方式很容易发现被利用的方法并迅速扩散。理论上会成为近几年影响最大的安全事件
    更蛋疼的是，连原来搞 PHP 的人都逐渐转移到其他领域或者玩 AI 去了，老业务的漏洞修复都是个问题
    很多很多年之前我以前还给大量的高校、政务、媒体搞过一堆的 PHP 的应用和服务，居然现在都还在用，但按目前观察到的维护力度，几乎不可能在半年内完成修复，麻烦大了

    #3
  • littephi
    littephi4天前
    3921

    interesting

    #4
  • longaiwp
    longaiwp4天前
    2183

    疯狂一夜准备到来

    #5
  • zuokanyunqishi
    zuokanyunqishi4天前
    1374

    @ucaime 好事,外包出来

    #6
  • aababc
    aababc4天前
    3922

    就当不知道!

    #7
  • eoeapp
    eoeapp4天前
    2115

    怪不得 namesilo 都暂停服务了

    #8
  • nuansediao
    nuansediao4天前
    3904

    说明大家都顾不上拍黄片了

    #9
  • iorilu
    iorilu4天前
    1469

    没看明白

    补丁发布之后才攻击? 这啥意思

    #10
  • spicy777
    spicy7774天前
    3244

    真的假的，线上业务还在用的 7.4 版本

    #11
  • codingmiao
    codingmiao4天前
    3923

    这个公告真的抽象啊，我们发现了漏洞，我们做好了补丁，我们发漏洞详情后你就会被打，所以我们要拖几个小时再把补丁丢出来。。意思是只有官方知道这个漏洞？

    #12
  • ucaime
    ucaime4天前
    3920

    @iorilu 目前仅仅几个小组验证了漏洞并发布了演示，其他人还不知道漏洞细节，但一旦补丁发布，通过逆向和问题定位，会被几乎所有漏洞研究组织、黑灰产等等渠道获得具体的利用方法并扩散。这个时间大概在发布后 15 分钟左右，并迅速达到高峰。

    根据以往的经验，这玩意儿的利用工具会迅速的增加修复功能，并在自己入侵获得权限后帮你修复漏洞避免被后来者抢走权限，所以你懂的，时间就是金钱~

    #13
  • icanfork
    icanfork4天前
    1986

    @iorilu 补丁发布以后，更多的“攻击者”才会推演出漏洞的更多细节和攻击方式

    #14
  • villivateur
    villivateur4天前
    2328

    我把自己用到的 php 服务，先在 nginx 上添加 return 503 ，等更新。
    我朋友更牛逼，直接把服务器关了。

    #15
  • nc
    nc4天前
    1893

    疑似 POC： https://jackalsyn.com/posts/php-up-2026.html

    可以试试

    #16
  • paopjian
    paopjian4天前
    2652

    @hhacker @codingmiao 有 REA 了, 以后发布补丁黑客都不用看直接 AI 就给你分析改动地方然后写攻击代码了, 官方只能先给全员发一个警钟, 发布补丁后赶紧修, 等于说以后发布漏洞补丁都相当于官方在线发布 0Day 漏洞, 几分钟后就是全网漏洞攻击

    #17
  • CloudnuY
    CloudnuY4天前
    3542

    晚一点你的小鸡就换新主人了

    #18
  • zhady009
    zhady0094天前
    3924

    还有一个 CVE-2026-99999 我看也没人讨论，V 站应该不少人有买 VPS

    #19
  • loserc6
    loserc64天前
    3721

    有爆料临时措施(非可信来源：
    关闭会话（ Session ）文件上传进度功能
    php.ini
    session.upload_progress.enabled = Off

    #20
  • Leox0607
    Leox06074天前
    3925

    先禁用危险函数和设置白名单？

    #21
  • trust999
    trust9994天前
    3926

    业务来了，快接单😎

    #22
  • winterx
    winterx4天前
    3927

    已经碰到有网站直接关站等 php 补丁了

    图片

    #23
  • loserc6
    loserc64天前
    3721

    @winterx

    图片

    可惜生产环境无法关停，只能等补丁出来后 ai 看看怎么给 php7 修复

    #24
  • Smileh
    Smileh4天前
    3928

    session.upload_progress.enabled=off
    session.use_strict_mode=1

    #25

发表回复

登录后回复