从 PHP2Shell 到 emSign：互联网安全的两次警报

2026年10月，PHP 核心远程代码执行漏洞与 eMudhra 数字证书安全事件相继曝光。从网站运行环境到 HTTPS 信任体系，两起事件涉及的都是互联网基础设施。

前言
今天（2026年10月21日），互联网安全领域接连传来两条令人关注的消息。
一条是被称为 PHP2Shell 的 PHP 核心远程代码执行漏洞，两项漏洞的 CVSS v4.0 评分均达到9.2分。另一条则来自印度数字证书颁发机构 eMudhra，其旗下8张中间 CA 证书的私钥存在极其严重的安全缺陷，可能被攻击者用于伪造受信任的 HTTPS 证书。
两件事并没有直接联系，却在短时间内集中进入公众视野。更值得关注的是，它们涉及的不是某个网站插件或应用程序，而是无数网站赖以运行和建立信任的基础设施。
今天恰好也给自己的 Debian 服务器进行了软件更新。看到这些消息后，又专门查阅了一些官方安全公告，就依据相关消息将这两起事件记录下来。
一、PHP2Shell：一次发生在 PHP 核心的严重漏洞
PHP 是互联网发展过程中最具代表性的服务端脚本语言之一。从早期的个人博客、论坛，到今天仍然广泛使用的 WordPress、Discuz、Flarum 等程序，背后都有 PHP 的身影。
10月20日，PHP 安全团队罕见地提前发布公告，预告将在次日推出紧急安全更新，修复两项 CVSS v4.0 评分均为9.2分的严重漏洞。
10月21日，官方正式公布了漏洞详情：

CVE-2026-109618：与内存耗尽处理过程中的数据损坏有关，可能导致远程代码执行。
CVE-2026-109619：与请求处理后的全局状态残留有关，也可能被利用实现远程代码执行。

两项漏洞均可能在无需身份验证的情况下被利用。
此次问题比较特殊，因为漏洞位于 PHP 自身的内部处理逻辑，而非某个网站程序的业务代码。官方特别指出，Apache mod_php 环境的风险较高，已经验证存在攻击在应用程序代码运行之前触发的情况。
这意味着，即使网站程序本身没有明显漏洞，也不代表运行环境就是安全的。

10月21日晚，PHP 官方正式发布修复版本：



PHP 分支
修复版本




PHP 8.5
8.5.12


PHP 8.4
8.4.27


PHP 8.3
8.3.36


PHP 8.2
8.2.35



官方明确表示，没有能够彻底消除漏洞风险的临时缓解措施，及时更新 PHP 才是可靠的解决办法。