php2shell 更新记录：事实与页面的每次变更

2026-10-22 更新了什么？

事实

CVSS 评分已确认：两份 PHP 官方安全公告（GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp）给出的 CVSS 4.0 评分都是 9.2（严重）。此前页面上“社区流传 9.2 分、尚未核实”的说法已改为直接引用官方。
新增官方临时缓解措施：PHP 官方针对 CVE-2026-109618 补充了两项设置——memory_limit 设为 -1，以及调低 post_max_size（不需要上传的网站 8M，需要上传的 32M）。已写入临时缓解措施，并注明它们同样不能替代升级。
利用状态更新：Cloudflare 表示在补丁发布前就观察到了针对这两个漏洞的攻击流量，攻击者还在变换请求内容。状态从“未核实”改为“已观察到攻击尝试”；成功入侵的公开案例仍未确认。
各国官方公告：收录 13 个国家和地区的 17 条官方公告和提醒，包括日本、美国、英国、欧盟、德国、法国、西班牙、瑞士、荷兰、波兰、加拿大、新加坡和香港；其中加拿大一条本站尚未核实。显示在首页和 PHP2Shell 漏洞说明里。
中文区来源：补充腾讯云官方风险通告和阿里云漏洞库的收录情况（仅核实到首页列表）；记录 1Panel 官方 PHP 镜像在核实时尚无修复版本标签。

页面

新增日本租赁服务器页面（日文）：さくら、ロリポップ、エックスサーバー、ConoHa 各一页。
新增宝塔 PHP 页面：说明面板 PHP 与系统 PHP 的区别，以及在宝塔修复构建尚未核实时能做什么。
网站被黑检测补充了研究方建议监控的三类迹象，并注明它们只能作为调查线索。
PHP 版本检测明确为只在浏览器里进行的手动检测，新增 Ubuntu/Debian 软件包版本比对。
CVE-2026-109618 和 CVE-2026-109619 页面顶部新增由数据自动生成的“漏洞档案”：CVSS、受影响与修复版本、运行方式、临时缓解、利用情况、发行版修复包和官方来源。
新增 PHP2Shell 与 WordPress：给 WordPress 站长的自查页。

网站首版，事实依据 PHP 官方安全公告和两份 GitHub 安全公告：

两个漏洞的官方编号：CVE-2026-109618、CVE-2026-109619。
四个分支的首个修复版本：8.2.35、8.3.36、8.4.27、8.5.12。
PHP 7.4、8.0、8.1 没有新发行版，但有官方最小源码回移补丁。
Ubuntu 与 Debian 13 的修复软件包记录。
官方临时设置：关闭 session.upload_progress.enabled；PHP 8.5 关闭 fatal_error_backtraces。
判定规则四类：受影响、匹配修复版本、需核实供应商补丁、信息不足。

新增或更正的事实、判定规则的调整、新增或改写的指南步骤都会记录。只改措辞、不影响内容的修改不单独列出。

请告诉我们是哪一页、哪里不对，并附上依据链接。我们会尽快更正，并在这里写明更正内容。联系方式见关于 php2shell.help。想直接判断自己的网站，回到 PHP2Shell 检测。

输入网站使用的 PHP 版本，我们会和该分支的首个修复版本比较，并告诉你下一步怎么做。

本页的核心事实（修复版本、CVE 详情、发行版软件包、官方机构的提醒）都来自官方来源；研究报告、新闻和社区讨论已分别标注。