17 lines
1.6 KiB
Markdown
17 lines
1.6 KiB
Markdown
# PHP2Shell 只读核查 · 2026-10-22
|
||
|
||
PHP 官方已确认 CVE-2026-109618／109619；修复版本为 8.5.12、8.4.27、8.3.36、8.2.35。配置缓解不是完整修复。“全球70%网站中招”没有在本次官方来源中获得证实，PHP使用比例、存在风险和已被入侵不能混同。
|
||
|
||
来源：[PHP 官方公告](https://www.php.net/index.php)、[OOM 漏洞](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w)、[状态残留漏洞](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp)、[OpenAI 版本检查工具及其限制](https://github.com/openai/php2shell-checker)。未运行漏洞利用代码或向生产发送探测攻击。
|
||
|
||
当前项目核查结果：
|
||
|
||
- 仓库应用与桌面源码未发现 PHP 文件、Composer 依赖或 PHP-FPM／FastCGI 配置；Dockerfile 基于 Node。
|
||
- 生产主素材容器 `youyidian-3d-material-blue` 实测 Node v18.20.8，无 PHP／PHP-FPM 可执行程序，APK 已安装包清单无 PHP。
|
||
- 通知容器实测 Node v22.23.1；当前进程为 Node。
|
||
- 生产宿主当前无 PHP 包、PHP 解释器或 PHP 工作进程；名称包含 php 的三个 bpfcc 诊断程序不是 PHP 运行时。
|
||
- 当前 Nginx 展开配置的 `fastcgi_pass` 数量为0。
|
||
- 公网素材库 `/api/health` HTTP 200，数据库／Redis正常，部署版本 `70369dbdb2405bb6e7548f821211953b7ccf2557`；未把隐藏 `X-Powered-By` 作为安全证据。
|
||
|
||
结论：本次检查的素材库执行链路不使用 PHP，不受上述两个 PHP 核心漏洞直接影响。未修改配置、重启、升级或更改生产数据。该结论不外推为其他项目或未来引入的 PHP 服务均安全。
|