香港发布PHP2Shell极高风险警报，网站服务器需修补

香港网络安全事故协调中心（HKCERT）10月22日发布PHP多个漏洞安全公告，并于23日更新。公告将风险列为「极高度风险」，指出CVE-2026-109618及CVE-2026-109619正在被广泛利用，攻击者可能利用漏洞在目标系统执行代码。运行PHP网站、管理后台或相关应用的香港服务器用户，应尽快核实修补状态。

哪些系统需要排查

HKCERT的说明特别提醒，排查范围应覆盖网站服务器，以及可能内嵌PHP组件的网络设备、安全产品、存储设备和企业应用。

这意味着，仅查看主机命令行显示的PHP版本，可能无法完整反映业务环境。使用容器、控制面板或第三方应用的机构，还需要确认实际承载网站请求的运行环境，以及设备供应商是否提供相应更新。

公告列出的PHP修补版本

按照HKCERT公告，PHP项目提供的修补版本包括：

PHP 8.5分支对应的修补版本为8.5.12，PHP 8.4分支对应8.4.27，PHP 8.3分支对应8.3.36，PHP 8.2分支对应8.2.35。运维人员应根据实际使用的分支核对修补版本。

Linux发行版或长期支持供应商可能采用回移补丁，其版本标识与PHP上游版本号未必相同，应结合所属供应商公告确认修补状态。涉及内嵌组件的设备，也应按照设备厂商指引处理。

香港数字政策办公室同日表示，政府部门主页寄存服务已完成所需修补，截至该公报发布时未接获相关网络安全事故报告。这一情况仅适用于公报所述范围，其他机构仍需自行检查。

香港网站托管用户如何确认修补生效

SellBGP建议先列出对外提供服务的域名、主机和应用，再确认每项服务对应的PHP运行环境。完成更新后，应按照供应商指引重新加载或重启相关服务，并验证网站登录、表单提交、支付回调等关键流程。

对无法立即修补的系统，HKCERT建议考虑暂时下线或与公共网络隔离。修补期间还应保留系统及访问日志，检查是否存在异常请求或其他入侵迹象。

本次事件适合用来检查托管服务中的补丁责任是否清楚。基础设施维护、操作系统更新、PHP组件更新和网站程序维护，可能由不同团队承担。租用香港云服务器时，应明确谁负责盘点、实施修补和业务验收。明确责任人并留下验证记录，能够让后续安全维护更容易执行。


声明：本文由SellBGP编辑部依据公开渠道信息独立撰写，转载请注明出处。