PHP遭遇高危“php2shell”漏洞，Ubuntu官方紧急发布修复指南

Mark Do 2 小时前暂无评论阅读 7 次

漏洞背景与曝光时间

近日，安全研究人员披露了两枚危及PHP生态的致命缺陷，编号分别为CVE-2026-109618与CVE-2026-109619，在安全社区中常被称为“php2shell”。这两项缺陷允许未授权的攻击者在任意PHP应用中实现远程代码执行（RCE）。Ubuntu已针对所有仍在支持周期的发行版推送了相应的修复补丁。

两项漏洞在CVSS 4.0评分体系中均获得9.2分，风险等级被评定为高危。按照负责任披露原则，PHP基金会早已与各大软件分销商展开协同应急，原定公开时间为2026年10月22日UTC 14:00。遗憾的是，由于信息遭提前泄露，官方不得不将披露窗口提前至2026年10月21日UTC 14:00。

受影响版本清单

以下是Ubuntu各版本受影响的PHP包名及对应修复状态：

Trusty (14.04)：php5 → 已修复至 5.5.9+dfsg-1ubuntu4.29+esm18
Xenial (16.04)：php7.0 → 已修复至 7.0.33-0ubuntu0.16.04.16+esm22
Bionic (18.04)：php7.2 → 已修复至 7.2.24-0ubuntu0.18.04.17+esm14
Focal (20.04)：php7.4 → 已修复至 7.4.3-4ubuntu2.29+esm5
Jammy (22.04)：php8.1 → 已修复至 8.1.2-1ubuntu2.28
Noble (24.04)：php8.3 → 已修复至 8.3.6-0ubuntu0.24.04.13
Resolute (26.04)：php8.5 → 已修复至 8.5.4-0ubuntu1.5
Stonking (26.10)：php8.5 → 已修复至 8.5.9-0ubuntu2.1

自查是否中招

您可以通过以下指令快速盘点服务器上已安装的所有PHP解释器组件版本：

apt list '?installed ?name(^php[0-9.]+$)'

漏洞危害评估

“php2shell”的影响范围极为广泛，任何基于PHP构建的网站或服务均在列。一旦攻击者通过网络接触到您的Web应用，且无需任何身份验证，便可轻松以PHP进程的权限在目标主机上执行任意系统命令，导致服务器控制权完全失守。

修复与升级方案

常规升级路径

建议优先对整个系统进行全量更新：

sudo apt update && sudo apt upgrade

若全量升级条件暂不具备，可精准定位并仅升级PHP相关组件：

sudo apt update && sudo apt install --only-upgrade '?name(^php[0-9.]+$)'

服务重启要求

完成补丁安装后，运行PHP的应用服务通常需要重新加载才能生效。以依赖apache2配合mod_php模块的场景为例，需执行：

sudo systemctl restart apache2

为确保所有关联进程均能调用到最新的安全组件，直接重启整机同样是一个稳妥的选择：

sudo reboot

自动化更新机制

自Ubuntu 16.04 LTS起，系统默认启用了unattended-upgrades功能。该特性具备以下特点：

每隔24小时自动拉取并安装最新的系统安全更新。
开启此功能的用户，补丁将在放行后24小时内自动部署完毕；但请注意，应用服务仍需手动重启或整机重启方能彻底生效。

长期支持版保障

Ubuntu 26.10、26.04 LTS、24.04 LTS及22.04 LTS的标准支持范围内已直接包含上述修复内容。若您仍在运行Ubuntu 20.04 LTS或更早的版本，可通过订阅Ubuntu Pro服务来获取扩展安全维护（ESM）通道中的补丁。Ubuntu Pro对个人用户免费提供最多5台设备的授权，社区成员最高可享受50台机器的免费额度。此外，订阅还包含Landscape管理能力，助您统一管控全网安全补丁的推送进度。了解更多