CVE-2026-109618 和 CVE-2026-109619：紧急安全发布因PHP关键RCE漏洞

PHP 管理员正面临紧急安全更新，此前维护人员宣布了一次特别发布，用于解决两个关键漏洞。这些漏洞由安全研究人员跟踪为 CVE-2026-109618 和 CVE-2026-109619，PHP 安全团队对此分别给予 CVSS v4.0 评分为 9.2。watchTowr 的研究人员将这两个问题描述为远程代码执行漏洞。

紧急发布定于 2026 年 10 月 21 日 14:00 UTC 进行。据称漏洞信息在协调发布日期前泄露，PHP 于是提前披露。截至写作之时，PHP 尚未公布易受攻击的组件、利用要求、受影响的版本或技术根源，表示这些细节将在安全更新中一同提供。

研究人员非正式地将漏洞组合称为“PHP2Shell”，但这一名称并非来自 PHP 项目。早期泄露声称这些漏洞可能影响从 PHP 5 开始的版本，并给予 CVSS 10.0 的评分。然而，PHP 的官方评分是 9.2，且声称的版本范围尚未得到官方供应商建议的确认。

尽管如此，潜在影响仍然显著。PHP 支持着大量网站、网络应用、内容管理系统、电子商务平台、API、托管面板以及定制企业服务。如果远程代码执行在常部署的配置中得到确认，成功利用将使攻击者从暴露的网络应用直接侵入服务器。

寻求 CVE-2026-109618 检测机会的安全团队应优先考虑基于行为的监控，目前尚无特定利用的签名。可疑活动包括 PHP 或 Web 服务器进程意外启动 shell、解释器、命令行工具或下载工具。

SOC Prime 客户可利用 AI-Native 检测智能平台访问不断更新的检测内容，以应对漏洞利用和相关事后妥协行为。检测规则可应用于多个 SIEM、EDR 和数据湖环境，并与 MITRE ATT&CK® 框架对齐。

点击 探索检测 访问新兴漏洞的相关 SOC 内容。为检测 CVE-2026-109619 及其相关的利用尝试，防御者应结合行为分析与 Web 服务器、终端和网络遥测，随着技术情报的可用而加强防御。

安全团队还可以使用 Prime Architect 将新兴漏洞情报转换为 Sigma 规则和定制狩猎查询，验证检测逻辑，直观呈现潜在攻击流，并快速翻译检测内容至支持的安全平台。

联系销售

CVE-2026-109618 和 CVE-2026-109619 分析

2026 年 10 月 20 日，PHP 安全团队提前警告称，第二天将发布一项特别的安全更新以解决两个关键漏洞。两者均获得 CVSS v4.0 评分为 9.2，管理员被敦促为立即升级做好准备。PHP 也保留在技术信息公开或检测到活跃利用时提前发布修复的选项。

公告出现在两个被禁信息泄露之后。泄露的材料识别了 CVE-2026-109618 和 CVE-2026-109619，并将其描述为远程代码执行漏洞。watchTowr 随后向 BleepingComputer 确认这些漏洞是真实的，并表示其研究人员认为他们成功复制了其中一个。

然而，泄露信息与 PHP 官方确认的信息之间存在重要差异。

PHP 将两个漏洞评为 CVSS v4.0 评分 9.2，而非泄露中传播的 CVSS 10.0 评分。PHP 也尚未确认哪些分支存在漏洞，是否利用需要特定的 PHP 部署模型或配置，或是否需要身份验证。

关于 CVE-2026-109618 影响 PHP 版本 5、6、7 和 8 的说法来自研究人员和泄露信息，而非 PHP 的官方建议。watchTowr 自己也指出，这个范围尚未得到供应商的确认。

因此，对 CVE-2026-109618 的仔细分析需要将确认的事实与初步研究分开。目前已确认的是，PHP 认为两个漏洞是关键的，对两者的评分为 9.2，并认为风险足以值得紧急的特别安全发布。研究人员将漏洞描述为 RCE 漏洞，但其潜在机制仍属保密。

在评估遗留 PHP 环境时，这一区别同样重要。PHP 项目目前仅向支持的分支 8.2 到 8.5 提供安全更新。PHP 8.2 和 8.3 正接收安全修复，而 8.4 和 8.5 仍在积极支持中。较旧的分支，包括 PHP 8.1、8.0、PHP 7.x 和 PHP 5.x 已经寿命终结，如果最终被证明存在漏洞，将不会接收上游修补。

对于运营旧版应用程序且无法轻易迁移的组织来说，这可能构成特别具有挑战性的修复场景。如果报告的广泛版本暴露得到确认，面向互联网的遗留 PHP 系统将是一个重大关注点。

截至写作之时，没有公共的 CVE-2026-109618 PoC。watchTowr 表示相信其成功复制了该问题，但有意在安全补丁可用前保留技术信息。Huntress 也尚未复制这些漏洞，也不了解任何公开可用的利用代码。

截至 10 月 21 日， cited 报告中的研究人员尚未观察到任何活动利用。这些漏洞也未被列入 CISA 的已知 exploited 漏洞目录。

因此，CVE-2026-109619 IOC 尚未发布。目前尚未确认任何直接与此漏洞的利用相关的恶意 IP 地址、域、有效负载哈希、利用请求模式或其他特定于活动的指标。

在利用详情可用之前，防御者应监视 PHP 服务器妥协的通用迹象。高价值行为包括 php-fpm、php-cgi、httpd 或 apache2 启动 shells、脚本引擎、下载工具或其他意外可执行文件。新的 web shells、web 根中的无解释修改、cron 作业、计划任务、新创建的帐户和异常出站连接也应触发调查。

一旦 PHP 发布安全更新，预计会澄清 CVE-2026-109619 的易受攻击组件、攻击前提条件、受影响的分支、配置依赖性以及修复的版本。

CVE-2026-109618 和 CVE-2026-109619 缓解

PHP 管理员应首先建立对环境中每个 PHP 部署的准确清单。这包括传统的 Linux 和 Windows 网络服务器以及嵌入在设备、第三方应用程序、托管平台和管理产品如 cPanel 或 Plesk 中的 PHP 运行时。

为立即缓解 CVE-2026-109619，组织应准备在补丁发布后立即部署 PHP 的紧急安全更新。互联网入口的应用程序应受到最高优先级的检查，因为远程可访问的系统通常提供了最大的利用机会。

使用发行版 PHP 包的组织应核实其 Linux 供应商或托管服务提供商是否有回溯的安全更新，而不是仅仅假定上游 PHP 版本号决定了暴露。

遗留 PHP 安装需要特别注意。如果一个漏洞应用程序运行一个没有官方补丁即可用的生命终结的 PHP 版本，组织应优先迁移到一个支持的分支。在立即迁移不可能时，应通过限制外部访问，将应用程序置于适当的网络控制后面，或暂时隔离系统来降低暴露。

The Hacker News 引用的 CERT-EU 指导意见建议考虑在修复无法立即应用时，将面向互联网的应用程序隔离于公共网络。

防御者还应加强对 PHP 执行的监控。警报触发于 PHP workers 或网络服务器进程启动如 shells、PowerShell、Bash、Python、Perl、curl、wget 或其他程序意外出现。

如果怀疑利用，隔离受影响的服务器，并在修复之前保留证据。相关的证据包括：

• 网络服务器访问和错误日志
• PHP 应用程序和运行时日志
• 终端和进程遥测
• 最近创建或修改的文件
• Web 根目录内容
• Cron 作业和计划任务
• 新创建的帐户或 SSH 密钥
• 出站网络连接
• 认证和管理活动

在技术指标发布后，安全团队还应进行追溯性狩猎。如果特定于利用的 HTTP 请求模式或有效负载特征公开，历史网络和代理遥测可以识别在补丁应用之前发生的妥协尝试。

组织应避免仅依赖 WAF 作为永久替代补丁措施。在技术根源未公开之前，没有可靠的泛用 WAF 规则可以在不知道利用机制的情况下阻止这两个漏洞。

通过利用 SOC Prime 的 AI-Native 检测智能平台，安全团队能在不断出现的这些 PHP 漏洞的新情报中不断加强他们的检测力度。

免责声明： 检测内容可能并不适用于每个 CVE。在 SOC Prime 平台检查当前覆盖范围。如果相关检测尚未可用，请在新的威胁情报和检测内容不断添加时再检查。