你这几天打开的任何一个网站，都可能已经被黑客控制了，你填的账号、密码、手机号、银行卡，人家都能看见 不是吓你，10月21号PHP官方紧急发了公告，两个高危漏… · @JackJun2027 · TwKit

@JackJun2027

你这几天打开的任何一个网站，都可能已经被黑客控制了，你填的账号、密码、手机号、银行卡，人家都能看见 不是吓你，10月21号PHP官方紧急发了公告，两个高危漏洞CVE-2026-109618和CVE-2026-109619，圈里叫它「php2shell」，评分9.2，不用登录不用密码，黑客发一个请求就能在你服务器上远程执行代码，网站代码都还没开始跑就已经被打穿了 这几天上任何网站都多留个心眼 PHP有多普遍你懂的，WordPress、各种论坛商城、小公司官网，一大半都跑在它上面，美国CISA、英国NCSC、加拿大网络安全中心、欧盟CERT全都出了紧急通告，PoC已经流出来了，现在还没大规模被利用，但随时会变 谁中招：所有对外提供网页的PHP，PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed都算，mod_php风险最高 怎么解决： 马上升级到 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，升完记得重启PHP进程，再确认一下跑的确实是新版本 还在用8.1或更老的，官方已经不管了，找你的系统厂商要补丁，或者直接升到新版 实在升不了的，官方建议先把对外的PHP服务下线，挂WAF只能挡一部分 临时缓解可以关掉 session.upload_progress.enabled、调低 post_max_size，但官方说了这只是减少风险，不等于安全 翻一下日志，看有没有PHP进程突然起shell、下载东西、连奇怪的外网地址 自己没服务器的普通人，这几天别乱点陌生链接，钱包类网站多看一眼网址，能等的转账先等等 有站的铁子赶紧转给你家运维，别等被打了才想起来

曝光 65 · 评论 1 · 点赞 1 · 书签 0