Fortirix扫描数据：超九成暴露PHP主机在PHP2Shell补丁前已被观测

所有统计数据均为汇总并匿名化处理，来自 Fortirix 自身的外部扫描数据。9,912 个范围内主机名中，几乎所有都是在 10 月 21 日补丁发布之前观测到的，其中大多数观测于补丁发布前三个月内；少数来自 10 月 21 日至 10 月 26 日之间执行的扫描。数据统计于 2026 年 10 月 26 日（见方法论）。

在几乎完全早于 PHP2Shell 补丁的扫描中，我们监控的根域名中有四分之一至少有一个面向互联网的主机名对外通告了受影响的 PHP 版本：172 个根域名下的 9,912 个主机名。这占我们所看到的全部通告 PHP 的主机名的 99.3%。而在受支持分支的匹配中，三分之二集中在同一个点版本上，即 PHP 8.2.30。

2026 年 10 月 21 日，PHP 项目披露了 CVE-2026-109618 和 CVE-2026-109619，这是两个被昵称为“PHP2Shell”的严重远程代码执行漏洞。CISA 当天发布警报，各大 CDN 推送了紧急 WAF 规则，多个欧洲政府出于预防将网站下线。几天之内，Cloudflare 报告了数百万次利用尝试，研究者在蜜罐上捕获了可用的 shell，10 月 26 日 CISA 将这两个 CVE 都加入其已知被利用漏洞目录。

这些数字是什么，以及不是什么。它们统计的是自身响应中通告了 PHP 版本且落在已公布受影响范围内的主机名，这些观测大多发生在补丁发布前三个月内。它们并不显示这些主机在披露当天运行的是什么，也不能证明某台主机未打补丁或可被利用：版本头无法揭示保留了旧版本字符串的向后移植修复，也无法揭示主机使用的是哪种服务器配置。详细信息见方法论部分。

许多 PHP CVE 只在扫描器看不到的条件下才适用。2024 年被大规模利用的 CVE-2024-4577 只在运行 PHP-CGI 的 Windows 主机上触发。2026 年的 SOAP 释放后使用漏洞 CVE-2026-6722 只有在 SOAP 扩展已加载并处理攻击者输入时才有影响。对于这些漏洞，版本匹配只是一个弱信号。

PHP2Shell 的不同之处在于缺陷所在的位置：两者都位于 PHP 的核心请求处理中，而非可选扩展或平台特定的代码路径。109618 位于内存不足清理路径中，109619 涉及请求作用域的全局状态，该状态可能在请求之间变得陈旧。PHP 项目表示所有处理 Web 请求的 PHP 安装都面临风险，两个 CVE 的 CVSS v4.0 评分均为 9.2（严重）。可利用性仍取决于部署方式：该项目演示了针对 Apache 配合 mod_php 的未授权利用，且在任何应用代码运行之前就会触发，它认为 PHP-FPM 也易受影响，但尚未展示完整的 FPM 利用。

因此对于 PHP2Shell，这些版本匹配标识的是需要紧急验证的候选对象。它们并不确立可利用性。

在我们平台上对每个主机名的最新观测中（超过 700 个根域名），按可采取的修复措施划分的受影响群体如下：

这些观测几乎全部发生在补丁存在之前，因此这实际上就是起跑线：几乎没有任何主机名可能已经在运行修复版本。主机自上次扫描以来可能已经改变了版本，无论朝哪个方向。披露之后，我们将两个 CVE 都加入了平台的发现项，因此范围内每个受支持分支的主机现在都带有针对每个 CVE 的逐主机严重发现项：146 个根域名下的 7,638 个主机名。按分支划分：

最引人注目的数字是单个点版本：PHP 8.2.30 占据了 5,041 个主机名，约占全部 PHP2Shell 发现项的三分之二。一个合理的解释是，大型托管服务或发行版默认配置的资产群停留在同一版本上。如果确实如此，少数几次平台更新就能一次性关闭数千个发现项。我们尚未核实这些主机由谁运营，因此将其视为假设。重新扫描可以显示这些主机名是否一起变更版本，但将其归因于某个提供商需要更多证据。

更棘手的问题是 116 个根域名下的 2,389 个主机名，它们所在的分支永远不会获得上游修复版本。该组中的一些分支已经失去支持近十年。

并非所有这些主机都一定暴露。PHP 为 7.4、8.0 和 8.1 发布了源代码级向后移植，Linux 发行版和托管供应商提供的补丁构建会保留原始版本字符串，而版本头无法区分这一点。5.4–7.2 的主机也在范围内，但仅针对 CVE-2026-109619，因为 NVD 对 CVE-2026-109618 的范围从 7.3.0 开始。但对于每个没有向后移植的主机，选项是隔离、退役或迁移到受支持的分支。

在我们平台上，这些主机获得的是单个严重的生命周期终止发现项，而不是逐 CVE 匹配，因为它们所在分支没有可指向的修复版本。122 个根域名下的 2,535 个主机名存在该未关闭的发现项。与 7,638 个 PHP2Shell 发现项合计，共有 10,173 个主机名存在与此暴露相关的未关闭发现项。

在你处处运行的软件中被披露严重 RCE 的那一天，你能多快列出哪些面向互联网的主机运行了它？

对于在我们平台上的资产，答案早已在案。每个主机名通告的 PHP 版本都已被记录，大多在披露前三个月内，并且在几天内就变成了带有严重性等级的逐主机发现项。这为安全团队提供了现有的清单来指导验证。每个团队多快采取行动，是这份数据无法衡量的。

如果你想以我们报告的方式查看自己的外部 PHP 清单，将受支持分支和生命周期终止分支分开，请申请对你的域名进行扫描。

我们的逐主机数据来自 Fortirix 自身的扫描数据；下方的外部背景信息来源于公开报道。

Fortirix 以攻击者第一轮侦察的方式——被动地、从外到内——绘制你的面向互联网攻击面。无需代理，无需凭据。