概览
本文介绍了PHP远程代码执行（RCE）漏洞CVE-2026-109618和CVE-2026-109619，统称为PHP2Shell，以及Cato的响应。
这两个漏洞的 CVSS v4.0 风险分数为 9.2（严重）。成功利用漏洞可以允许未经身份验证的攻击者以 PHP 网页工作者的权限执行代码。
对 Cato 生产环境没有影响，同时已发布 IPS 保护措施来保护 Cato 客户。
背景和影响
在2026年10月21日，PHP开发团队发布了紧急安全更新，解决PHP核心中的两个漏洞：
CVE-2026-109618：内存不足处理可能导致内部请求数据部分初始化。在请求清理过程中处理这些无效数据可能会导致RCE。
CVE-2026-109619：内部状态可能引用在较早请求之后释放的内存。同一个工作者处理的后续请求可以访问该过时状态，可能导致RCE。
特别制作的网页请求可以触发易受攻击的处理路径。可利用性取决于 PHP 版本、配置、运行时和应用程序行为。
环境
PHP建议将所有处理网页请求的PHP安装视为潜在风险，包括PHP-FPM、Apache与mod_php、php-cgi、FrankenPHP和LiteSpeed。
以下版本包含对两个漏洞的修复：
PHP分支机构 | 已修复版本 |
PHP 8.2 | 8.2.35 |
PHP 8.3 | 8.3.36 |
PHP 8.4 | 8.4.27 |
PHP 8.5 | 8.5.12 |
PHP 8.1 及以下版本不再由 PHP 项目支持。如果您使用供应商维持的包，请检查供应商的建议以获取反向端口修复。否则，请升级到支持的并已修复的版本。
Cato 正在做什么？
对Cato生产环境没有影响。
Cato继续监控其他利用方法，并可能随着新信息的提供而更新签名。
Cato基于官方补丁的分析和公开报告的漏洞活动开发了IPS签名。 Cato发布签名以保护其客户。
截至Cato的10月22日评估，Cato观察到安全扫描活动，但未发现针对Cato客户的利用尝试。
我需要做什么？
立即更新受影响的 PHP 安装至包含解决所有漏洞的版本。如果PHP包含在第三方产品或托管服务中，请遵循供应商的修复指导。
IPS签名提供额外的保护层，但不能替代修补受影响的系统。
如果您无法立即修补，请遵循 PHP安全建议 中的临时缓解措施指导。 PHP 表示临时配置变更可减少特定攻击路径的暴露风险，但无法提供完整保护。