赵健的技术笔记

PHP2Shell 利用 PHP 高危漏洞，多国发布警报！WordPress 企业官网替代方案：免费、省心、更快、更安全

技术 约 7322 字 · 19 分钟 - 次阅读

2026 年 10 月 21 日，PHP 发布紧急安全更新，修复两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619。攻击者不用登录，发一个请求就能在服务器上执行任意代码。

发现漏洞的 Wiz Research 把这两个漏洞串成一个利用脚本 PHP2Shell，在最新版 WordPress、Drupal、Joomla 上演示了无需登录的远程代码执行（Wiz）。

WordPress 跑在 PHP 上。这次漏洞出在 PHP 本身，WordPress 和插件更新到最新版也挡不住，所有 WordPress 企业官网都要处理。

PHP 高危漏洞 CVE-2026-109618、CVE-2026-109619 与利用工具 PHP2Shell，CVSS 9.2

PHP 漏洞 CVE-2026-109618、CVE-2026-109619 概要

来自 PHP 官方安全公告：

项目内容
编号CVE-2026-109618、CVE-2026-109619
官方名称RCE via OOM corruption、RCE via stale global state
评分CVSS 4.0，9.2 分
后果无需登录的远程代码执行（RCE）
影响范围所有处理网页请求的 PHP：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed
风险最高Apache mod_php，网站代码运行前就会被攻击
修复版本PHP 8.5.12、8.4.27、8.3.36、8.2.35
无官方修复PHP 8.1 及更早版本
  • CVE-2026-109618：PHP 内存不足（OOM）时可能中断在请求数据只初始化一半的位置，之后清理请求时把无效数据当成有效数据使用。
  • CVE-2026-109619：请求结束、内存释放后，部分内部状态仍残留，同一工作进程处理下一个请求时可能先用上这份过期状态。

多国发布警报，网站紧急下线

以下时间均为 2026 年 10 月 21 日。

欧盟 CERT-EU（NL Times）、英国 NCSC（Patchstack）、荷兰 NCSC（Sansec）、日本国家网络统括室和 IPA（Impress Watch）先后发布警报，要求尽快打补丁，欧盟、英国和日本还建议来不及打补丁的先把网站下线。

攻击已经开始

WordPress 安全公司 Patchstack 的实时记录：

  • UTC 07:34：多家主机商报告网站被攻击。
  • UTC 07:43：Cloudflare CTO 表示已看到早期攻击，并上线了防火墙规则。
  • UTC 13:52：PHP 发布修复版本。
  • UTC 13:57：Patchstack 仍只看到试探性攻击，预计修复细节公开后会增加。

Wiz Research 的 PHP2Shell 利用工具攻击 WordPress，自动识别目标并执行命令

荷兰国家网络安全中心（NCSC）当时称尚未确认实际攻击。参考上一次：2024 年 6 月 PHP 漏洞 CVE-2024-4577 公开后，Akamai 在 24 小时内就看到了攻击尝试（The Hacker News）。

荷兰、芬兰政府网站下线

  • 荷兰众议院（Tweede Kamer）网站临时下线。足球俱乐部 Fortuna Sittard、警察工会 ACP、荷兰皇家药剂师协会 KNMP、公交公司 EBS 的网站，以及荷兰高校和科研机构共用的部分 IT 网络也暂停了（NL Times）。
  • 荷兰 NCSC 自己的网站、科技网站 Tweakers、安全新闻网站 Security.NL 下线（Sansec）。
  • 荷兰政府身份认证系统 DigiD、政务门户 MijnOverheid 暂停服务（Patchstack）。
  • 芬兰政府 IT 中心 Valtori 关停多个国家机关的公开网站，包括芬兰国土测绘局和赫尔辛基会展中心（Pasquale Pillitteri）。

日本：高市首相深夜呼吁，pixiv、DMM 等紧急维护

日本时间 21:55，首相高市早苗在 X 上发文（Impress Watch 转载）：

皆様に、今夜に対応して頂きたい大至急のお願いです。（中略）公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

意思是：请今晚确认网站是否使用 PHP，日本时间 23 点补丁发布后尽快打上；来不及打补丁的，可以先暂停网站。

日本国家网络统括室、IPA 也发出警报，部分地方政府预告临时停止系统。同一篇报道列出的服务：

  • 网店平台 BASE、保育园服务コドモン从下午开始维护；
  • pixiv、DMM.com、niconico、樱花互联网（さくらインターネット）部分服务紧急维护，20 点后大量服务暂停；
  • 《碧蓝幻想》《赛马娘 Pretty Derby》等游戏暂停服务。

WordPress 维护模式挡不住

Sansec 指出：WordPress 和 Magento 自带的维护模式无效，PHP 在程序检查维护开关之前就已经解析了请求。有效的做法是停掉 PHP-FPM，由 Web 服务器直接返回静态维护页。

所以 WordPress 官网当晚只有两条路：有人登录服务器升级 PHP，或者整站关掉。没人管的网站只能开着等。

WordPress 企业官网为什么最危险

PHP 层面的漏洞，WordPress 插件管不了。 mod_php 下攻击发生在网站代码运行之前，安全插件、验证码、隐藏后台都没用。Sansec 也说，只能升级服务器上的 PHP，自己不管服务器的只能催主机商。

大量服务器还在用停止维护的 PHP。 安全公司 Mallory 10 月 20 日通过 Shodan 统计，约 88.4 万台公网主机的响应头显示 PHP 8.1 或更早版本，占报告版本号主机（约 150 万台）的 59%（按响应头统计，不等于都受影响，见 The Hacker News）。这些版本没有官方补丁，只能找主机商要移植补丁或升级 PHP，而老主题、老插件常常一升级就出错。

每年都在花钱。 主机续费、维护费、付费插件年费，出了事还有清理费用。一个只放公司介绍、业务、案例、新闻、招聘的官网，要一直运行 PHP + MySQL，还得有人在 10 月 21 日这样的晚上守着服务器。

我的方案：Astro + Cloudflare / GitHub / Vercel / Netlify

两年前我就不再推荐客户用 WordPress 和 PHP，已经把客户网站全部迁到 Astro 加 Cloudflare、GitHub、Vercel、Netlify 的组合。这些平台的免费方案完全够企业官网使用，托管不花一分钱，比原来的 WordPress 官网更快、更安全、更省心。

这次 PHP 漏洞，这些客户的网站不用做任何处理，当晚照常访问。我的博客 zhaojian.net 也是这样搭的，同时提供 12 种语言版本。

做法很简单：

  • Astro 在构建时生成全部页面，上线的只有 HTML、CSS、JS 和图片；
  • 源码放在 GitHub，改文字、加新闻后提交；
  • Cloudflare Pages / Vercel / Netlify 收到提交后自动构建发布，几分钟上线，页面从全球 CDN 发出。

更安全：服务器上没有 PHP、数据库和后台登录页，PHP2Shell 这类利用工具无处下手。以后 PHP、WordPress、插件再出漏洞，都与网站无关。

更快：页面是现成文件，从离访客最近的 CDN 节点直接发出，日本、中国、欧美访问都快。

不花钱、不用维护：不用续费主机和服务器，只剩域名费。没有服务器要登录，没有程序要升级。

WordPress 与 Astro 静态网站对比

WordPress 官网Astro 静态网站
运行的程序PHP + MySQL + 主题 + 插件无，只有静态文件
这次的 PHP 漏洞受影响，要连夜升级或关站不受影响
托管费用每年续费主机 / 服务器免费
日常维护定期升级 WordPress、插件、PHP不需要
访问速度看服务器性能和缓存配置CDN 直接发出
更新内容登录后台编辑提交后自动构建发布
多语言靠多语言插件构建时生成各语言页面

在线商城、会员登录、预约系统这类实时读写数据的功能需要另外规划。联系表单、新闻、案例、招聘、多语言这些官网常用功能，静态网站加第三方表单服务都能做到。

WordPress 迁移到 Astro 的步骤

  1. 整理页面：列出全部页面、文章、图片和表单。
  2. 导出内容：文章和页面导出成 Markdown，图片一并下载。
  3. 保留网址：尽量沿用原网址，改了的设置 301 跳转，避免搜索排名下降。
  4. 重做设计：照原样还原，或换一套新设计，同时适配手机。
  5. 替换功能：表单换成第三方表单服务，统计换成无需服务器的方案。
  6. 切换域名：确认无误后把域名指向新平台，旧服务器到期不再续费。

常见问题

WordPress 网站会被 PHP2Shell 攻击吗？

会。漏洞在 PHP 本身，只要服务器上的 PHP 不是 8.5.12、8.4.27、8.3.36、8.2.35 或主机商打过补丁的版本，都受影响，和 WordPress 版本无关。

开启 WordPress 维护模式能防住吗？

不能。PHP 在维护模式生效前就处理了请求。要么升级 PHP，要么停掉 PHP-FPM 改用静态维护页。

PHP 8.1 或更早的版本怎么办？

PHP 官方不再提供更新。可以找主机商要移植补丁，或升级到 PHP 8.2 以上；主题和插件不兼容的，可以考虑直接迁移到静态网站。

静态网站真的不用花钱吗？

Cloudflare Pages、Vercel、Netlify、GitHub Pages 的免费方案足够企业官网使用，只需要付域名费。

想把 WordPress 官网换掉？联系我

适合找我的情况：

  • 企业官网用 WordPress，10 月 21 日晚上不知道该不该关站、找谁打补丁；
  • 服务器还是 PHP 8.1 或更早版本；
  • 每年要续费主机、服务器，还要付维护费；
  • 当初做网站的人联系不上，网站没人管；
  • 面向日本或海外市场，需要日语、英语等多语言官网。

我可以把你的 WordPress 企业官网迁移到 Astro 静态网站：更快、更安全，不用每年续费主机和服务器，提交后自动构建发布，不用再找人维护。

通过关于页面上的微信（757118）或 X（@zhaoJianNet）联系我，发来网站地址和需求，我给你具体的迁移方案。

参考

PHP2Shell PHP 漏洞 WordPress 替代 企业官网 静态网站 Astro WordPress 安全 CVE-2026-109618 CVE-2026-109619 网站迁移 Cloudflare Pages
分享：

评论