各单位、各部门：
近日，国家信息安全漏洞共享平台（CNVD）收录并发布PHP远程代码执行漏洞（公告编号CNTA-2026-0007），漏洞编号为CVE-2026-109618、CVE-2026-109619（对应CNVD-2026-41674、CNVD-2026-41675），安全社区统称“php2shell”。该漏洞位于PHP解释器内核内存管理环节，未经身份验证的远程攻击者可构造恶意HTTP请求触发内存破坏，进而实施拒绝服务攻击、敏感数据窃取或远程代码执行。CNVD综合评级为“高危”，CVSS v4.0评分9.2。目前漏洞技术细节和验证代码已在互联网传播，存在被大规模扫描利用的风险。为做好学校互联网资产安全防护，现将有关事项提示如下。
一、影响范围
受影响PHP版本包括：
（一）8.2.35之前的8.2.x版本；
（二）8.3.36之前的8.3.x 版本；
（三）8.4.27 之前的8.4.x版本；
（四）8.5.12 之前的8.5.x版本。
官方修复版本为PHP 8.5.12、8.4.27、8.3.36、8.2.35。使用上述版本运行的门户网站、业务系统、内容管理系统（如 WordPress、Drupal、Joomla、Laravel、Symfony、phpMyAdmin、Nextcloud、MediaWiki、Roundcube 等）均可能受影响。此外，PHP 5.x、7.x等已停止维护的版本不在官方修复范围内，风险更高。
二、排查方法
（一）登录服务器执行php-v查看命令行PHP版本；Web服务与命令行可能使用不同版本，需执行php-fpm-v（或php-fpm8.3-v等）确认网站实际运行版本。
（二）对照影响范围判断是否受影响，同步梳理本单位自建网站、业务系统、测试环境、实验室网站、临时项目网站和老旧系统，重点检查仍在运行PHP 5.x、7.x及8.2以下版本的系统。
（三）无法确认版本或已停止维护的系统，按受影响系统处理。
三、修复建议
（一）受影响系统应尽快通过官方渠道升级至PHP 8.5.12、8.4.27、8.3.36、8.2.35或更高版本。升级前做好数据备份和兼容性测试，升级后重启PHP-FPM及Web服务，并验证业务功能正常。
（二）官方公告地址https://www.php.net/archive/2026.php#2026-10-21-5。
（三）学校统一运维的网站群、门户等系统由网络与信息技术中心统一排查处置；各部门自建、自行采购系统、实验室网站和临时项目网站由归属单位负责排查整改。各部门要落实网络安全主体责任，立即组织对本单位网站和业务系统开展排查，无法自行处置的，及时对接系统运维厂商协同处理。
四、临时缓解措施
暂不具备升级条件的系统，可先采取以下措施降低风险，并尽快完成升级：
（一）PHP-FPM环境可设置memory_limit=-1；mod_php环境关闭session.upload_progress.enabled（PHP 8.5 同时设置fatal_error_backtraces=0），并重启全部工作进程或Web服务。
（二）设置 PHP-FPM pm.max_requests=1（mod_php环境设置MaxRequestsPerChild=1），阻断跨请求状态传递。该措施会影响服务性能，仅作临时防护。
（三）通过 WAF 等安全设备拦截异常的multipart/form-data请求。
（四）加强运行监测，重点关注PHP进程异常退出、异常命令调用、陌生进程创建、异常文件写入等行为，留存日志备查。
（五）对非必要对外开放的系统，采取临时下线、网络隔离、访问限制等措施，缩小互联网暴露面。
五、参考链接
（一）国家信息安全漏洞共享平台（CNVD）：《关于PHP远程代码执行漏洞分析及修复建议的安全公告》（公告编号 CNTA-2026-0007）
https://mp.weixin.qq.com/s/NbxXC4ios-2GA9Fe8tLevw
（二）PHP官方安全公告（2026年10月21日）
https://www.php.net/archive/2026.php#2026-10-21-5
（三）NVD 漏洞详情：CVE-2026-109618
https://nvd.nist.gov/vuln/detail/CVE-2026-109618
（四）NVD 漏洞详情：CVE-2026-109619
https://nvd.nist.gov/vuln/detail/CVE-2026-109619
（五）国家信息安全漏洞共享平台（CNVD）官网
网络与信息技术中心
2026年10月26日