PHP2Shell 漏洞：补丁修复缓慢加剧网络攻击风险

安全威胁现状

由两个软件漏洞（CVE-2026-109618 和 CVE-2026-109619）组成的 PHP2Shell 漏洞继续对 Web 基础设施构成生存威胁。尽管根据 CVSS 标准其危险等级评定为极高（9.2），但机构对补丁修复的响应仍然令人担忧地缓慢。

根据 Ox Security 公司的数据，在漏洞披露五天后，仍有约 93.6% 的系统面临被入侵的风险。研究人员强调，修复速度仍然非常缓慢，使敏感数字资产暴露在攻击者面前。

为什么这条新闻很重要？

情况的严重性在于，约 70% 使用服务器端编程语言的网站都依赖 PHP。来自 Censys 和 Flare 等安全公司的研究表明，有数百万个服务正在运行不受支持的 PHP 版本，这意味着它们不会收到官方安全更新，并且需要更大的技术投入才能迁移到安全版本。

安全团队面临的挑战包括：

• 依赖旧版本：据估计，超过 70% 被扫描的服务正在运行不再受核心项目支持的 PHP 版本。
• 升级复杂性：更新旧系统需要解决兼容性问题并更新应用程序，这比仅仅应用软件补丁要复杂得多。
• 攻击升级：Cloudflare 公司监测到漏洞利用尝试出现了巨大飞跃，从漏洞公布前的数千次尝试增加到了目前的数百万次。

政府行动与限制

在这种松懈的情况下，政府机构采取了果断措施，美国网络安全和基础设施安全局（CISA）要求联邦民用机构必须在 2026 年 10 月 29 日之前解决该漏洞。此外，由于无法确保安全性，该漏洞已导致一些基于 PHP 的平台永久关闭。

专家强调，在攻击如此广泛传播的情况下，仅依靠手动修补已不再足够，仍在运行不受支持版本的机构面临着被成功入侵的迫在眉睫的风险。