新视点。观点

      近日，PHP 官方披露编号为CVE-2026-109618、CVE-2026-109619两个高危远程代码执行漏洞（业内代号 php2shell），漏洞 CVSS 评分高达 9.2，风险等级极高，已被国家网络安全主管部门重点关注，相关监管文件陆续下发，要求各企事业单位全面自查、限期整改，严防网站被入侵、数据泄露等网络安全事件发生。

      作为深耕网站建设与网络安全服务的服务商，新视点网络快速完成漏洞研判、攻防验证，面向广大企业客户推出分层分级的安全处置方案，助力企业合规完成整改、守住网络安全底线。

漏洞风险是什么？

答：可无认证远程控制服务器，危害极大

      本次两个漏洞均属于未授权远程代码执行漏洞（RCE），攻击门槛低、利用链路成熟。攻击者无需账号密码、不用登录网站后台，仅通过构造特制 POST 请求即可触发漏洞，在服务器上执行任意系统命令。 一旦攻击成功，攻击者可直接上传 webshell 后门、篡改官网页面、窃取企业客户资料、订单、财务等核心业务数据，还能以此服务器为跳板横向渗透，入侵内网其他业务系统，引发数据泄露、业务停摆、品牌声誉受损等严重后果；同时，安全事件发生后，企业还将面临监管部门的核查、处罚，承担相应法律责任。 值得重点说明：漏洞根源在 PHP 解释器底层内存处理逻辑缺陷，和网站本身业务代码是否写得规范无关，哪怕是简单静态展示型 PHP 网站，只要运行在受影响版本上，同样存在被攻陷风险。

哪些企业会受到影响？

答：所有正在使用 PHP 搭建官网、商城、会员系统、业务管理后台的企业均需排查，其中超过三年的老旧网站风险最高

1. 网站运行在PHP5、PHP7 全系列版本的企业。该两大分支早已停止官方安全维护，PHP 官方不会为这两个版本推出正式补丁，属于本次整改中的重难点；

2. 使用老旧 CMS 建站企业，包含老版本织梦、ECShop、旧版 WordPress 以及自研 PHP 老系统；

3. 对外公网可访问的企业官网、线上商城、申报系统、表单提交系统、后台管理平台；

4. 政府合作单位、商贸、制造、服务业等有公网网站、存储客户信息、经营数据的各类市场主体，也是本次监管重点核查对象。

新视点网络分层解决方案：短期应急控风险，长期根治保合规

结合监管整改要求、企业业务连续性诉求，新视点网络采取 “应急加固 + 根治重建” 双线思路，区分不同企业业务情况，提供可落地的处置方案，兼顾整改时效与长期安全。

一、短期应急缓解方案（适合业务暂时无法立刻重构，争取整改窗口期）

1. 源码补丁加固 针对具备编译条件、技术环境允许的 PHP7 站点，可采用可信的补丁进行源码打补丁处理；PHP5 版本兼容性差、稳定补丁稀缺，不建议盲目打补丁，避免业务报错、网站瘫痪。对有些不影响功能的报错可设置暂时忽略。补丁完成后需要全面测试业务功能，持续观察服务器日志。

2. 关闭 session 上传进度功能，修改 php.ini 或.user.ini 配置文件，设置 session.upload_progress.enabled = Off，修改完成后重载 php-fpm 或重启 Apache、Nginx 服务方可生效。该措施可以阻断一条主流攻击路径，但存在网站资料上传功能失效，如果企业需频繁上传资料才能进行与客户的互动，则不适合直接采用该方案。

3. 部署 WAF 安全防护，增加漏洞专项拦截规则 可采购专业 Web 应用防火墙，配置针对本次 php2shell 漏洞的专项拦截策略，拦截恶意 multipart/form-data 攻击请求，在流量入口阻挡攻击行为。该方案防护效果稳定，但采购硬件 / 云 WAF 产品费用至少也要1万以上，适合数据敏感、安全等级高的企业。

4. 配套多项辅助加固措施，进一步降低风险

• 收紧 PHP 参数：按需下调 post_max_size、upload_max_filesize，无上传需求站点直接关闭 file_uploads；

• 后台访问管控：网站管理后台添加 IP 白名单、VPN 访问限制，不直接对公网开放；

• 入侵排查审计：对服务器全盘查杀 Webshell、后门脚本，清理定时任务、异常账号；开启访问日志留存，满足监管溯源要求；

• 流量限流防护：对表单、上传接口做请求频率限制，抬高攻击者批量探测、利用的成本。

二、长期根治解决方案（推荐方案，从根源满足监管合规）

短期加固只是缓冲手段，PHP5、PHP7 已停止维护，后续还会持续爆出新的安全漏洞，持续存在合规隐患。 新视点网络推出前台页面设计不变、后台基于 PHP8 全新重构的改造方案：保留企业原有官网视觉风格、栏目结构、页面布局，不改变客户访问体验，对网站后端代码、底层框架进行全新开发适配，迁移至官方支持、已经修复本次漏洞的安全 PHP8 版本。

方案优势： ✅ 彻底解决本次 CVE 高危漏洞，消除底层安全隐患；

                  ✅ 页面样式、导航、内容完全沿用，不影响品牌展示、SEO 收录；

                  ✅ 同步优化代码安全规范，减少后续漏洞爆发概率；

                  ✅ 适配监管长期网络安全检查要求，规避持续整改压力；

                  ✅ 改造完成后配套安全测试、渗透测试，出具安全相关材料，支撑企业上报整改回执。

如果您接到网警电话或国家网络安全主管部门下发的相关文件，但又不知道如何解决，可以随时拨打400-6007-163，让我们来给您解决！