Astra Security发布免费工具，帮助机构发现并修复PHP2Shell漏洞
特拉华州克莱蒙特，2026年10月23日 /PRNewswire/ -- Astra Security今日发布两项免费资源，帮助各机构应对本周披露的关键PHP漏洞PHP2Shell。第一项是面向公开网址的PHP2Shell Checker。第二项是用于更深入调查的开源工具php2shell-triage。
这些漏洞分别为CVE-2026-109618和CVE-2026-109619，在CVSS v4.0中的评分均为9.2，可能通过PHP核心运行时导致未经身份验证的远程代码执行。PHP 8.5.12、8.4.27、8.3.36和8.2.35已提供修复。由于PHP广泛运行于网站、CMS平台、定制应用以及供应商管理的基础设施中，许多机构可能需要把排查范围扩大到其并非直接维护的应用之外。
先从公开暴露的资产入手：使用PHP2Shell Checker扫描公开资产
PHP2Shell Checker会将公开网站所显示的PHP版本与已修复版本进行比对。该工具无需账户即可使用。Astra Security表示，检测结果只能作为初步信号，而非最终结论：代理、托管服务商和服务器设置都可能隐藏或改变版本信息，而“未发现问题”的结果也无法说明内部系统是否安全。
对自有系统做更深入排查：使用php2shell-triage评估内部系统
php2shell-triage可帮助团队评估不同服务器API上的PHP运行时，标记陈旧工作进程，查找可能已遭利用的迹象，并为PHP漏洞修复制定方案。该只读脚本会检查正在运行的PHP工作进程背后的二进制文件，而不是仅仅信任命令行显示的版本。Astra Security称，这可以发现这样一种情况：服务器报告的是已修复的PHP版本，但旧的工作进程仍在提供存在漏洞的运行时，从而带来未经身份验证的远程代码执行（RCE）风险。
如何修复PHP2Shell：立即采取的补救措施
Astra Security表示，应识别受影响的安装实例，应用更新，重启PHP工作进程，并验证已修复的运行时确实在运行。如果怀疑系统已遭入侵，应在重启前保留证据。生命周期已结束的版本（8.1及更早版本）不会获得官方修复，因此需要制定升级计划。如果暂时无法打补丁，则应考虑隔离存在漏洞的系统。
“在像PHP2Shell这样的披露事件中，最难回答的问题不是‘我们是否存在漏洞？’而是‘当前实际在运行的到底是什么？’”Astra Security创始人兼首席执行官Shikhil Sharma表示。
免费工具
PHP2Shell指导
本周相关安全通告
- LiteLLM供应链攻击
- GitLab CVE-2026-110264：CVSS 10.0的关键正则表达式RCE漏洞
- Node.js 2026年10月安全补丁
- Railway数据泄露：哪些凭证需要轮换，以及轮换无法解决什么问题
