PHP2Shell：腾讯云、OpenAI、谷歌接连预警，PHP 底层究竟出了什么问题？

10 月 21 日晚，腾讯云发布了一份 PHP 高危漏洞通告。紧接着，OpenAI、谷歌也相继发声。

这次涉及两个漏洞：

• CVE-2026-109618
• CVE-2026-109619

它们被统称为 PHP2Shell，CVSS 4.0 严重程度评分均为 9.2 分。

按照 PHP 官方的安全公告，攻击者在特定条件下，无须登录系统，就可能通过恶意网络请求触发远程代码执行。

PHP 是一种广泛用于网站和 Web 应用的服务端编程语言。很多企业官网、内容管理系统、电商平台都依赖 PHP 运行环境。

如果漏洞被成功利用，攻击者可能获得服务器上 PHP 工作进程的执行权限，进一步窃取数据、植入恶意程序，甚至控制相关业务系统。

这次事件还有一个特殊之处：AI 已经参与到严重漏洞的发现、验证和补丁测试过程中。

目录

1. 腾讯云、OpenAI、谷歌为何接连发声
2. PHP2Shell 的两个漏洞是怎么产生的
3. 哪些 PHP 版本和业务系统受到影响
4. 测试开发人员应该如何排查
5. AI 参与漏洞发现后，安全测试会发生什么变化

一、腾讯云、OpenAI、谷歌为何接连发声

10 月 20 日，相关漏洞编号开始在网络社区传播，PHP 安全团队随后加快了披露和修复工作。

10 月 21 日，PHP 官方发布安全版本，腾讯云同步提醒用户开展安全自查。

OpenAI 在公告中披露，研究团队利用 GPT-5.6 Sol 参与发现了其中一项严重漏洞，Wiz 研究人员也独立发现并报告了这两个问题。

谷歌则表示，Gemini 4 Argon 参与了漏洞研究、利用验证、攻击检测和补丁校验。

谷歌同时强调，Google Cloud 平台本身不受这两个漏洞影响，但部署在云平台上的 PHP 应用仍可能存在风险。

这次事件涉及开源维护者、安全研究机构、AI 企业和云服务商的联合响应。对于使用 PHP 的企业，当前需要完成的是资产排查和补丁升级。

二、PHP2Shell 的两个漏洞是怎么产生的

两个漏洞都与 PHP 底层的内存管理有关。

CVE-2026-109618：内存耗尽后的异常处理存在问题。

PHP 处理请求时，如果发生内存耗尽，可能提前退出当前处理流程。

某些情况下，内部数据尚未完成初始化，后续清理过程却继续使用这些无效数据，从而造成内存破坏。

CVE-2026-109619：上一请求的内存状态被错误复用。

PHP 工作进程可能连续处理多个请求。

如果前一个请求结束后，相关全局状态没有正确清理，后续请求就可能访问已经释放的内存。

这种问题被称为释放后使用漏洞，也就是 Use After Free。

对于 Apache mod_php，官方已经验证了在应用业务代码执行前触发漏洞的攻击路径。PHP-FPM 等其他运行方式也需要排查，具体利用条件会受到运行环境影响。

这也是本次漏洞风险较高的原因：单纯检查 PHP 业务代码，很难发现运行时底层的问题。

三、哪些 PHP 版本和业务系统受到影响

PHP 官方已于 10 月 21 日发布修复版本。

PHP 8.1 及更早版本已经停止官方维护，没有获得本次安全更新，需要升级至仍受支持的分支。

对于使用 PHP 的网站、后台管理系统、内容管理平台，以及部署在容器中的 PHP 服务，都应该检查实际运行版本。

官方明确指出，目前没有能够完全消除风险的临时缓解措施，升级修复版本才是完整的解决方案。

四、测试开发人员应该如何排查

如果企业正在使用 PHP，可以先检查运行环境。

Linux 服务器上执行：

php -v

如果使用 PHP-FPM，还需要确认对应服务的版本：

php-fpm -v

这两个命令只能检查相应命令指向的 PHP 环境。对于 Docker、Kubernetes 和多版本部署场景，还应检查实际运行的容器镜像及 Web 服务使用的 PHP 版本。

完成版本升级后，测试人员还需要开展回归验证。

重点包括文件上传、表单提交、接口异常输入、大文件处理、并发请求，以及内存资源受限时的服务行为。

特别是异常处理场景，需要检查请求失败后工作进程能否正常恢复，后续请求是否受到影响。

对于这类内存安全漏洞，功能测试通过并不能证明漏洞已经修复。测试团队还需要确认补丁确实部署到了生产运行环境，并结合安全扫描、运行日志和官方通告验证修复状态。

五、AI 参与漏洞发现后，安全测试会发生什么变化

OpenAI 和谷歌此次披露的信息，反映出 AI 在安全研究中的应用正在加深。

AI 可以辅助分析大规模代码、寻找异常执行路径、帮助安全研究人员验证漏洞，也能参与补丁回归测试。

但漏洞发现只是开始。

从漏洞确认、影响范围分析，到修复代码审查、版本发布和生产环境升级，仍然需要完整的工程流程。

对于测试开发人员，今后除了接口自动化、性能测试，还可以逐步掌握代码静态分析、模糊测试、依赖漏洞扫描、异常状态测试以及 AI 辅助安全评测。

尤其是模糊测试，它可以通过大量异常输入，帮助发现程序在边界条件下的崩溃和异常行为。

PHP2Shell 就提供了一个现实案例：即使业务功能正常运行，底层内存生命周期和异常处理机制仍然可能隐藏严重漏洞。

当 AI 能够帮助研究人员更快发现漏洞时，企业也需要提高修复、验证和部署的效率。