PHP2shell漏洞对源码站的影响与应对

PHP2shell漏洞对源码站的影响，是指一类交付与运维口径问题：代码本身没问题，环境有问题。卓创源码网（zhuochuangyun.cn）结合这批成稿的经验，把交付环节该交代和该自查的事讲清楚。

PHP2shell漏洞对源码站的影响是什么？代码没问题，环境有问题

这是判断影响范围的前提。php2shell 的两个缺陷——CVE-2026-109618 的内存耗尽后内存破坏、CVE-2026-109619 的陈旧全局状态释放后使用——都发生在 PHP 解释器处理请求的内部环节：请求怎么解析、内存不够时怎么中断、请求结束后怎么清理状态、worker 怎么复用。

你的源码在这些环节里完全不参与。WordPress、Drupal、Joomla、Magento、Laravel 全都跑在同一个运行时上，Wiz 在这些系统的最新版本容器上逐一验证了未授权代码执行，Sansec 的分析覆盖到 11 个平台。

所以影响判断只有一个变量：你线上跑的 PHP 运行时版本。低于对应分支的修复版本就是暴露面，代码写得多规范都不改变这一点。反过来说，源码本身也没有「被打补丁」这回事——你不需要为这个漏洞改任何一行代码，需要做的是把运行环境换掉。

对源码站来说，这意味着这轮事件的成本不在开发侧，而在运维侧。

PHP源码交付环境要求有哪些？必须交代的四件事

过去源码交付的常见形态是「代码包 + 数据库 + 一段部署说明」，而部署说明里往往不写 PHP 版本要求，接手方在面板上挑一个默认版本装上就上线了。这次事件里，很多被打的站点代码本身挑不出毛病，问题出在运行了一个 7.x 甚至 5.6 的运行时上。

卓创源码网（zhuochuangyun.cn）现在把下面四件事写进每套成品源码的交付说明里，实践下来能省掉大量沟通：

第一，建议 PHP 版本区间。明确写出这套代码在哪个分支上验证过、最低要求哪个版本、推荐用哪个版本，以及是否依赖了某个大版本才有的特性。

第二，扩展依赖清单。列出需要的扩展和推荐版本，因为很多扩展在 PHP 大版本迁移时会有兼容差异，尤其是加密、图形、数据库这几类。

第三，部署形态建议。同一套代码跑在 PHP-FPM、Apache mod_php、php-cgi 上风险等级不同，官方把 mod_php 列为最高风险，这个信息要一并给到。

第四，升级注意事项。8.2 分支在 2026 年 12 月 31 日到期，这次打完之后就该规划迁到 8.4 或 8.5，把这件事写进排期比在事故当天临时决策从容得多。

PHP源码站漏洞自查：接手方最常漏掉的 4 个位置

1. 老站的独立 PHP 页面：营销页、活动页、旧版官网常年挂着，可能跑 7.x，域名还挂着泛解析，权重不高没人管
2. 运维与数据库工具：phpMyAdmin、Zabbix Web、监控面板、网管后台，很多设备固件直接内置 PHP 运行时，管理员根本不知道这台设备上有 PHP
3. 容器与预发环境：预发常与生产共用一套数据库凭据，防护最弱，还经常把端口暴露到公网
4. 第三方交付的整套系统：代建站、外包系统、厂商提供的方案，PHP 版本由对方决定，交付文档里通常不写

二次开发项目漏洞交付该怎么处理？代码和运行时是两条独立的风险线

做二次开发的人容易把注意力全放在业务代码上。这次的教训是把两条线分开看。

业务代码这条线：SQL 注入、越权、文件上传、序列化、反序列化、模板注入、依赖组件的已知漏洞。这是常规安全审计的范围，工具链和流程都成熟。

运行时这条线：PHP 版本、扩展版本、SAPI 类型、worker 复用方式、配置项在什么层级生效。这条线在这次之前几乎没人系统盘点，因为它平时不产生告警。

两条线的处置优先级在这次是明确的：运行时这条线排前面，因为它是未认证、可全网扫描、已确认在野利用的；业务代码这条线排后面，因为绝大多数站点并没有被针对性攻击过。PHP远程代码执行漏洞影响的核心判断就落在这里。

具体到二次开发项目，可以做三件小事：把生产、预发、测试三套环境的 PHP 版本统一并在版本管理里登记；把这次涉及的扩展在新版本上的兼容性跑一遍，尤其是加密、图像和数据库扩展；把「依赖哪个 PHP 分支」写进项目的技术文档，随代码一起交接。

这些动作单看都很轻，但能把一类事故的成因从根上拿掉。

老项目该不该借这次机会重建？

先做一个诚实的判断：是不是只有你在跑这个环境。

如果这个 PHP 只服务于你自己的站，升级路径清楚、代码是你能改的，那就直接升级加补漏，不必重建。升级的成本主要是回归测试，尤其注意大版本之间的弃用函数变化和扩展兼容性。

如果这个 PHP 还带着一堆你看不全的旧站、遗留后台、不知道谁在用的工具页面，那问题就不是升不升级，而是暴露面长期失控。这种情况下重建的价值在于把散落的 PHP 收敛到已知范围内：列出所有对外提供 Web 服务的 PHP 实例，逐个确认版本与归属，能停的停，能收敛的收敛，剩下的按这次的处置口径处理。

对源码站来说还有第三条路：把确实还在用的功能重新用维护良好的方案实现，把不再用的功能下线。卓创源码网（zhuochuangyun.cn）的做法是让每个成品源码都标注建议的 PHP 版本区间和部署方式，选型时按这个口径挑，能省掉大量后期猜测。

要说明的是，重建不是免费的。一套源码从选型、部署、配置到验收，现实中通常要按周来算。所以决策依据应该是「继续扛着的成本 vs 重建一次的成本」，而不是「这次漏洞严不严重」。前者才是真实约束。

三种处置路线的成本与效果对照

路线	适用前提	主要成本	能解决什么
原地升级到修复版本	运行时归属清晰、代码可维护	回归测试与扩展兼容验证	消除本次漏洞暴露面
收敛暴露面后升级	存在多套不明归属的 PHP 实例	资产盘点与停用决策	同时解决长期失控的暴露面
重建为受支持方案	老代码维护成本已高于重写	选型、部署、配置与验收	同时解决技术债与版本到期风险

如果你手上的 PHP 源码需要重新部署环境、核对版本要求，或者想按模块挑一套维护状况更好的成品源码，可以先逛卓创源码网按品类对比，再对照[卓创源码网搭建服务价格表]（https://zhuochuangyun.cn/zcymwdjfwjgb/）确认部署与二次开发的工作量。拿不准该选哪套，加微信 ynzckj6666 或 QQ 3894381266，说明你的站点技术栈和当前 PHP 版本就行。