gongxiangp2/docs/php2shell-check-2026-10-22.md

PHP2Shell 只读核查 · 2026-10-22

PHP 官方已确认 CVE-2026-109618／109619；修复版本为 8.5.12、8.4.27、8.3.36、8.2.35。配置缓解不是完整修复。“全球70%网站中招”没有在本次官方来源中获得证实，PHP使用比例、存在风险和已被入侵不能混同。

来源：PHP 官方公告、OOM 漏洞、状态残留漏洞、OpenAI 版本检查工具及其限制。未运行漏洞利用代码或向生产发送探测攻击。

当前项目核查结果：

• 仓库应用与桌面源码未发现 PHP 文件、Composer 依赖或 PHP-FPM／FastCGI 配置；Dockerfile 基于 Node。
• 生产主素材容器 youyidian-3d-material-blue 实测 Node v18.20.8，无 PHP／PHP-FPM 可执行程序，APK 已安装包清单无 PHP。
• 通知容器实测 Node v22.23.1；当前进程为 Node。
• 生产宿主当前无 PHP 包、PHP 解释器或 PHP 工作进程；名称包含 php 的三个 bpfcc 诊断程序不是 PHP 运行时。
• 当前 Nginx 展开配置的 fastcgi_pass 数量为0。
• 公网素材库 /api/health HTTP 200，数据库／Redis正常，部署版本 70369dbdb2405bb6e7548f821211953b7ccf2557；未把隐藏 X-Powered-By 作为安全证据。

结论：本次检查的素材库执行链路不使用 PHP，不受上述两个 PHP 核心漏洞直接影响。未修改配置、重启、升级或更改生产数据。该结论不外推为其他项目或未来引入的 PHP 服务均安全。