全球70%的网站危险 PHP出现高危漏洞百度云防护WAF紧急上线安全防护规则保护你的网站

逝水年华 · 发表于 2026-10-22 22:23:03

马上注册，免费下载更多dz插件网资源。

您需要登录才可以下载或查看，没有账号？立即注册

×

如果你的网站使用PHP开发，或者跑着WordPress、Discuz等主流建站程序，请立刻提高警惕。2026年10月21日，PHP官方发布紧急安全更新，修复了两个被评为“严重”级别的远程代码执行漏洞（CVE-2026-109618 与 CVE-2026-109619），代号“PHP2Shell”。这两个漏洞的CVSS评分高达9.2，未经认证的攻击者即可完全控制服务器。更关键的是，由于PHP在全球Web服务器端语言中占据极高的市场份额（超过70%的网站都在使用），这意味着数以千万计的网站正处于极度危险之中。

作为站长，你可能觉得“我的代码是自己写的，没用那些乱七八糟的插件，应该没事”。但这次的漏洞出在PHP的底层处理机制，只要你的服务器在跑PHP，无论什么业务逻辑，都可能成为目标。一、为什么说这次的漏洞“极其致命”？这两个漏洞单拎出来都很严重，组合起来更是防不胜防。它们针对的都是PHP底层处理请求内存和状态时的缺陷：1. CVE-2026-109618：OOM触发内存破坏
当PHP处理请求遇到内存耗尽（OOM）时，内部的清理机制存在缺陷。攻击者可以通过发送包含大量嵌套字段或空文件控件的“特制multipart请求”来触发OOM，导致请求清理过程使用无效数据，引发内存破坏。如果服务器使用的是Apache mod_php模式，攻击甚至可能在应用代码执行前就完成，直接拿下服务器。2. CVE-2026-109619：跨请求的“释放后使用”（UAF）
PHP的Worker进程是复用处理请求的。这个漏洞是因为PHP在释放内存后，全局状态没重置干净。攻击者构造特殊的请求序列：先发一个请求“生产”出陈旧的脏数据，紧接着发下一个请求去“消费”它，就能触发Use-After-Free，实现远程代码执行。目前，暗网上已经出现了针对该漏洞的扫描器和初步利用代码。从漏洞公开到被大规模利用的窗口期，极有可能压缩在几天之内。二、百度云防护WAF紧急响应：规则4645筑起虚拟补丁防线面对这种底层高危漏洞，官方补丁发布后，很多企业的研发流程较长，打补丁、测试、上线往往需要几天甚至几周。这段时间，就是最危险的“空窗期”。更别提还有海量的老旧业务系统，早已无人维护，根本打不上补丁。为了抢在攻击者之前保护用户，百度云防护WAF团队已在10月22日紧急上线了针对性的防护规则——规则4645（Code_exec.CVE-2026-109618.A）。这条规则直击攻击者的“七寸”。在PHP2Shell的利用链条中，攻击者为了把恶意代码写入服务器，通常会利用 PHP_SESSION_UPLOAD_PROGRESS 这个特性来构造恶意Session文件（即Session污染）。
规则4645的拦截逻辑极其精准：它直接检测同一个POST请求中，是否同时出现了 PHPSESSID 与 PHP_SESSION_UPLOAD_PROGRESS 上传进度字段。一旦发现这种典型的“投毒”特征，立刻阻断。这在流量层直接切断了攻击链最核心的投毒环节。只要你的域名接入了百度云防护，并在Web基础防护中开启了高级策略集，这条规则就会自动生效，为你挡下试图利用该漏洞的恶意流量。三、站长紧急行动指南：如何保住你的网站？面对“全球70%网站危险”的局势，主机吧建议你立刻采取以下三步：

第一优先：打补丁
检查你的服务器PHP版本，立刻升级至安全版本：
第二优先：开启百度云防护WAF
在补丁打完并验证通过之前，不要关闭WAF。登录百度云防护控制台，确认“Web基础防护”处于中级或高级策略集，确保规则4645处于“拦截”状态。即使你有旧系统无法立刻升级PHP，WAF也能在云端帮你挡住这波攻击。第三优先：排查异常
检查Web访问日志，看看是否有大量携带 PHP_SESSION_UPLOAD_PROGRESS 字段的可疑POST请求。如果有，说明你已经被黑客盯上了。

四、总结核心业务系统被攻破，轻则数据泄露，重则直接停摆。在AI时代，漏洞的曝光和利用速度超乎想象。面对这种波及全球的底层漏洞，千万别抱有侥幸心理。百度云防护WAF专业版仅需299元/月，即刻获得针对最新0day漏洞的虚拟补丁防护，以及JA3/JA4指纹拦截、智能CC防护等全面安全能力。主机吧作为百度云防护官方合作伙伴，现针对此次PHP高危漏洞提供紧急安全评估。如果你不确定自己的PHP版本是否受支持，或者不知道如何配置WAF防护规则，欢迎随时联系我们，我们帮你排查风险、配置策略，确保你的网站在这次风暴中稳如泰山。

©DZ插件网所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。
本站内容为站长个人技术研究记录或网络，不提供用户交互功能，所有内容版权归原作者所有。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，得到更好的正版服务。
您在本站任何的赞助购买、下载、查阅、回复等行为等均表示接受并同意签订《DZ插件网免责声明协议》。
如有侵权请邮件与我们联系处理: discuzaddons@vip.qq.com 并出示相关证明以便删除。敬请谅解！