--- title: "PHP2Shell 利用 PHP 高危漏洞，多国发布警报！WordPress 企业官网替代方案：免费、省心、更快、更安全" description: "PHP 曝出 CVE-2026-109618、CVE-2026-109619 两个高危远程代码执行漏洞，CVSS 9.2，Wiz Research 用利用工具 PHP2Shell 演示了无需登录即可控制 WordPress 服务器，荷兰议会、日本 pixiv 等网站紧急下线。WordPress 企业官网的替代方案：迁移到 Astro 静态网站，免费托管、免维护、更安全。" date: 2026-10-21T14:30:00.000Z tags: ["PHP2Shell", "PHP 漏洞", "WordPress 替代", "企业官网", "静态网站", "Astro", "WordPress 安全", "CVE-2026-109618", "CVE-2026-109619", "网站迁移", "Cloudflare Pages"] categories: ["技术"] canonical: https://www.zhaojian.net/php2shell-wordpress-corporate-site-static-alternative/ author: 赵健 --- 2026 年 10 月 21 日，PHP 发布紧急安全更新，修复两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619。攻击者不用登录，发一个请求就能在服务器上执行任意代码。 发现漏洞的 Wiz Research 把这两个漏洞串成一个利用脚本 **PHP2Shell**，在最新版 WordPress、Drupal、Joomla 上演示了无需登录的远程代码执行（[Wiz](https://www.wiz.io/blog/php2shell-php-rce)）。 WordPress 跑在 PHP 上。这次漏洞出在 PHP 本身，WordPress 和插件更新到最新版也挡不住，所有 WordPress 企业官网都要处理。 ![PHP 高危漏洞 CVE-2026-109618、CVE-2026-109619 与利用工具 PHP2Shell，CVSS 9.2](/uploads/2026/10/php2shell-cover.png) ## PHP 漏洞 CVE-2026-109618、CVE-2026-109619 概要 来自 [PHP 官方安全公告](https://www.php.net/archive/2026.php)： | 项目 | 内容 | | --- | --- | | 编号 | CVE-2026-109618、CVE-2026-109619 | | 官方名称 | RCE via OOM corruption、RCE via stale global state | | 评分 | CVSS 4.0，9.2 分 | | 后果 | 无需登录的远程代码执行（RCE） | | 影响范围 | 所有处理网页请求的 PHP：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed | | 风险最高 | Apache mod_php，网站代码运行前就会被攻击 | | 修复版本 | PHP 8.5.12、8.4.27、8.3.36、8.2.35 | | 无官方修复 | PHP 8.1 及更早版本 | - **CVE-2026-109618**：PHP 内存不足（OOM）时可能中断在请求数据只初始化一半的位置，之后清理请求时把无效数据当成有效数据使用。 - **CVE-2026-109619**：请求结束、内存释放后，部分内部状态仍残留，同一工作进程处理下一个请求时可能先用上这份过期状态。 ## 多国发布警报，网站紧急下线 以下时间均为 2026 年 10 月 21 日。 欧盟 CERT-EU（[NL Times](https://nltimes.nl/2026/10/21/dutch-parliament-website-taken-offline-cybersecurity-warning-triggers-precautions)）、英国 NCSC（[Patchstack](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/)）、荷兰 NCSC（[Sansec](https://sansec.io/research/php2shell)）、日本国家网络统括室和 IPA（[Impress Watch](https://www.watch.impress.co.jp/docs/news/2150159.html)）先后发布警报，要求尽快打补丁，欧盟、英国和日本还建议来不及打补丁的先把网站下线。 ### 攻击已经开始 WordPress 安全公司 Patchstack 的[实时记录](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/)： - **UTC 07:34**：多家主机商报告网站被攻击。 - **UTC 07:43**：Cloudflare CTO 表示已看到早期攻击，并上线了防火墙规则。 - **UTC 13:52**：PHP 发布修复版本。 - **UTC 13:57**：Patchstack 仍只看到试探性攻击，预计修复细节公开后会增加。 ![Wiz Research 的 PHP2Shell 利用工具攻击 WordPress，自动识别目标并执行命令](/uploads/2026/10/php2shell-exploit-demo.png) 荷兰国家网络安全中心（NCSC）当时称尚未确认实际攻击。参考上一次：2024 年 6 月 PHP 漏洞 CVE-2024-4577 公开后，Akamai 在 24 小时内就看到了攻击尝试（[The Hacker News](https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html)）。 ### 荷兰、芬兰政府网站下线 - 荷兰众议院（Tweede Kamer）网站临时下线。足球俱乐部 Fortuna Sittard、警察工会 ACP、荷兰皇家药剂师协会 KNMP、公交公司 EBS 的网站，以及荷兰高校和科研机构共用的部分 IT 网络也暂停了（[NL Times](https://nltimes.nl/2026/10/21/dutch-parliament-website-taken-offline-cybersecurity-warning-triggers-precautions)）。 - 荷兰 NCSC 自己的网站、科技网站 Tweakers、安全新闻网站 Security.NL 下线（[Sansec](https://sansec.io/research/php2shell)）。 - 荷兰政府身份认证系统 DigiD、政务门户 MijnOverheid 暂停服务（[Patchstack](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/)）。 - 芬兰政府 IT 中心 Valtori 关停多个国家机关的公开网站，包括芬兰国土测绘局和赫尔辛基会展中心（[Pasquale Pillitteri](https://pasqualepillitteri.it/en/news/26110/php2shell-netherlands-finland-switch-off-government-sites-before-patch)）。 ### 日本：高市首相深夜呼吁，pixiv、DMM 等紧急维护 日本时间 21:55，首相高市早苗在 X 上发文（[Impress Watch](https://www.watch.impress.co.jp/docs/news/2150159.html) 转载）： > 皆様に、今夜に対応して頂きたい大至急のお願いです。（中略）公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 意思是：请今晚确认网站是否使用 PHP，日本时间 23 点补丁发布后尽快打上；来不及打补丁的，可以先暂停网站。 日本国家网络统括室、IPA 也发出警报，部分地方政府预告临时停止系统。同一篇报道列出的服务： - 网店平台 BASE、保育园服务コドモン从下午开始维护； - pixiv、DMM.com、niconico、樱花互联网（さくらインターネット）部分服务紧急维护，20 点后大量服务暂停； - 《碧蓝幻想》《赛马娘 Pretty Derby》等游戏暂停服务。 ### WordPress 维护模式挡不住 Sansec [指出](https://sansec.io/research/php2shell)：WordPress 和 Magento 自带的维护模式无效，PHP 在程序检查维护开关之前就已经解析了请求。有效的做法是停掉 PHP-FPM，由 Web 服务器直接返回静态维护页。 所以 WordPress 官网当晚只有两条路：有人登录服务器升级 PHP，或者整站关掉。没人管的网站只能开着等。 ## WordPress 企业官网为什么最危险 **PHP 层面的漏洞，WordPress 插件管不了。** mod_php 下攻击发生在网站代码运行之前，安全插件、验证码、隐藏后台都没用。Sansec 也说，只能升级服务器上的 PHP，自己不管服务器的只能催主机商。 **大量服务器还在用停止维护的 PHP。** 安全公司 Mallory 10 月 20 日通过 Shodan 统计，约 88.4 万台公网主机的响应头显示 PHP 8.1 或更早版本，占报告版本号主机（约 150 万台）的 59%（按响应头统计，不等于都受影响，见 [The Hacker News](https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html)）。这些版本没有官方补丁，只能找主机商要移植补丁或升级 PHP，而老主题、老插件常常一升级就出错。 **每年都在花钱。** 主机续费、维护费、付费插件年费，出了事还有清理费用。一个只放公司介绍、业务、案例、新闻、招聘的官网，要一直运行 PHP + MySQL，还得有人在 10 月 21 日这样的晚上守着服务器。 ## 我的方案：Astro + Cloudflare / GitHub / Vercel / Netlify 两年前我就不再推荐客户用 WordPress 和 PHP，已经把客户网站全部迁到 Astro 加 Cloudflare、GitHub、Vercel、Netlify 的组合。这些平台的免费方案完全够企业官网使用，托管不花一分钱，比原来的 WordPress 官网更快、更安全、更省心。 这次 PHP 漏洞，这些客户的网站不用做任何处理，当晚照常访问。我的博客 [zhaojian.net](https://www.zhaojian.net) 也是这样搭的，同时提供 12 种语言版本。 做法很简单： - **Astro** 在构建时生成全部页面，上线的只有 HTML、CSS、JS 和图片； - 源码放在 **GitHub**，改文字、加新闻后提交； - **Cloudflare Pages / Vercel / Netlify** 收到提交后自动构建发布，几分钟上线，页面从全球 CDN 发出。 **更安全**：服务器上没有 PHP、数据库和后台登录页，PHP2Shell 这类利用工具无处下手。以后 PHP、WordPress、插件再出漏洞，都与网站无关。 **更快**：页面是现成文件，从离访客最近的 CDN 节点直接发出，日本、中国、欧美访问都快。 **不花钱、不用维护**：不用续费主机和服务器，只剩域名费。没有服务器要登录，没有程序要升级。 ### WordPress 与 Astro 静态网站对比 | | WordPress 官网 | Astro 静态网站 | | --- | --- | --- | | 运行的程序 | PHP + MySQL + 主题 + 插件 | 无，只有静态文件 | | 这次的 PHP 漏洞 | 受影响，要连夜升级或关站 | 不受影响 | | 托管费用 | 每年续费主机 / 服务器 | 免费 | | 日常维护 | 定期升级 WordPress、插件、PHP | 不需要 | | 访问速度 | 看服务器性能和缓存配置 | CDN 直接发出 | | 更新内容 | 登录后台编辑 | 提交后自动构建发布 | | 多语言 | 靠多语言插件 | 构建时生成各语言页面 | 在线商城、会员登录、预约系统这类实时读写数据的功能需要另外规划。联系表单、新闻、案例、招聘、多语言这些官网常用功能，静态网站加第三方表单服务都能做到。 ## WordPress 迁移到 Astro 的步骤 1. **整理页面**：列出全部页面、文章、图片和表单。 2. **导出内容**：文章和页面导出成 Markdown，图片一并下载。 3. **保留网址**：尽量沿用原网址，改了的设置 301 跳转，避免搜索排名下降。 4. **重做设计**：照原样还原，或换一套新设计，同时适配手机。 5. **替换功能**：表单换成第三方表单服务，统计换成无需服务器的方案。 6. **切换域名**：确认无误后把域名指向新平台，旧服务器到期不再续费。 ## 常见问题 ### WordPress 网站会被 PHP2Shell 攻击吗？ 会。漏洞在 PHP 本身，只要服务器上的 PHP 不是 8.5.12、8.4.27、8.3.36、8.2.35 或主机商打过补丁的版本，都受影响，和 WordPress 版本无关。 ### 开启 WordPress 维护模式能防住吗？ 不能。PHP 在维护模式生效前就处理了请求。要么升级 PHP，要么停掉 PHP-FPM 改用静态维护页。 ### PHP 8.1 或更早的版本怎么办？ PHP 官方不再提供更新。可以找主机商要移植补丁，或升级到 PHP 8.2 以上；主题和插件不兼容的，可以考虑直接迁移到静态网站。 ### 静态网站真的不用花钱吗？ Cloudflare Pages、Vercel、Netlify、GitHub Pages 的免费方案足够企业官网使用，只需要付域名费。 ## 想把 WordPress 官网换掉？联系我 适合找我的情况： - 企业官网用 WordPress，10 月 21 日晚上不知道该不该关站、找谁打补丁； - 服务器还是 PHP 8.1 或更早版本； - 每年要续费主机、服务器，还要付维护费； - 当初做网站的人联系不上，网站没人管； - 面向日本或海外市场，需要日语、英语等多语言官网。 我可以把你的 WordPress 企业官网迁移到 Astro 静态网站：**更快、更安全，不用每年续费主机和服务器，提交后自动构建发布，不用再找人维护。** 通过[关于页面](/about/)上的微信（757118）或 X（[@zhaoJianNet](https://x.com/zhaoJianNet)）联系我，发来网站地址和需求，我给你具体的迁移方案。 ## 参考 - [PHP 官方安全公告](https://www.php.net/archive/2026.php) - [Wiz Research：PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) - [The Hacker News：PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert](https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html) - [Patchstack：Major security alert: PHP vulnerable to critical RCE, attacks ongoing](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/) - [Sansec：PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619)](https://sansec.io/research/php2shell) - [NL Times：Dutch parliament website taken offline as cybersecurity warning triggers precautions](https://nltimes.nl/2026/10/21/dutch-parliament-website-taken-offline-cybersecurity-warning-triggers-precautions) - [Pasquale Pillitteri：PHP2Shell, Netherlands and Finland switch off government sites before the patch](https://pasqualepillitteri.it/en/news/26110/php2shell-netherlands-finland-switch-off-government-sites-before-patch) - [Impress Watch：国内大手サービスで緊急メンテやサービス停止　PHP脆弱性で対策](https://www.watch.impress.co.jp/docs/news/2150159.html)