漏洞情况

PHP 官方安全公告披露「php2shell」漏洞，两个 CVSS 9.2 的远程代码执行（RCE）漏洞于 10 月 20 日公开，补丁提前至 10 月 21 日发布。

运营方处置

  • 按分支升级至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，或安装发行版修复包

  • PHP 8.1 及更早版本用户应升级至受支持分支，或联系发行版及 LTS 厂商确认补丁

  • 漏洞位于服务器 PHP 运行环境，仅更新网站代码或插件无效

  • 使用托管服务的用户需联系服务商确认底层 PHP 已更新

  • 无法及时修复的系统应考虑暂时隔离公网访问


用户防护

CISA 建议：重要账户启用双因素认证；不同账户使用独立强密码；警惕冒充「紧急密码重置通知」的钓鱼邮件，改密时自行打开官网或官方 App。

补充措施

Cloudflare 为 WAF 新增完整 HTTP 事务检测及响应规则，向包括免费套餐在内的所有客户开放。Huntress 建议企业盘点公网 PHP 环境，监测 PHP 进程异常启动命令行、解释器或下载工具等行为，发现可疑活动后隔离服务器并保留日志。

需注意：个人防护措施无法修复服务器端漏洞，WAF 与上传限制也不能替代补丁。