Lukas Melichar

PHP2Shell：制药和医疗行业的营销团队需要检查什么

数字营销安全。发布于2026年10月24日。

要点。 2026年10月21日，PHP 项目针对两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619 发布了更新。它们可能让无需登录的攻击者在运行 PHP 的服务器上执行代码。只有在服务器上更新 PHP，才能彻底修复。凡是网站、活动微站、门户或表单运行在 PHP 上的地方，营销团队都会受到影响，因此每一家托管服务商和代理公司现在都应书面确认：已更新 PHP 并已重启。

截至 2026年10月24日的状况

  • 修复版本： PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，已于 10月21日发布。PHP 8.1 及更早版本不再从 PHP 项目获得更新，但 PHP 项目为 7.4、8.0 和 8.1 提供了最小化的源代码向后移植补丁（backport），供自行编译 PHP 的人使用。
  • 攻击情况： 各方报告不一。安全公司 watchTowr 称，自 10月21日起已观察到漏洞被利用。加拿大网络安全中心的警报（10月23日更新）称，当时尚未发现活跃的漏洞利用，但情况可能迅速变化；警报还援引开源报道，称已有概念验证（PoC）代码。美国 CISA 的已知被利用漏洞目录没有收录这两个漏洞。
  • 后续进展： 10月23日，PHP 项目发布了一份信息性公告，涉及另一条可能导致代码执行的途径（CVE-2026-115560），并称其在实际中不太可能出现。公告建议在下一个常规缺陷修复版本发布之前，关闭会话上传进度（session upload progress）功能。

本页从营销的角度撰写：该索取什么，向谁索取。技术工作属于 IT 部门、托管服务商或代理公司。

发生了什么

PHP 是 WordPress 以及许多其他内容管理系统和网上商店所使用的编程语言。10月20日，PHP 项目预先通知将于 10月21日发布一个严重安全版本，并给两个漏洞的 CVSS v4.0 评分均为 9.2（满分 10）。据 watchTowr 称，漏洞细节在原定披露日期之前就已泄露。更新于 10月21日发布。随后，医疗卫生行业的信息共享社区 Health-ISAC、英国国家网络安全中心和加拿大网络安全中心相继发出警示。三者都呼吁各机构尽快更新，并查清自己在哪些地方暴露。

PHP 项目表示，所有处理网页请求的安装在更新之前都面临风险。它认为 Apache 搭配 mod_php 的风险最高：已有演示表明，攻击无需登录，并且在网站自身代码运行之前就会触发。

为什么营销团队会受影响

在服务器上运行的代码，可以读取服务器能读取的内容，也可以改动服务器所显示的内容。对营销网站来说，这意味着表单提交内容、咨询数据库和访客看到的页面。在医疗领域，咨询和注册信息可能包含健康信息，而 GDPR 将其视为特殊类别个人数据（第 9 条）。因更新而下线的网站，还会影响所有向它导入付费流量的营销活动。

在大多数公司，营销部门并不负责给服务器打补丁。但网站、代理公司关系以及网站收集的数据都归营销部门管理，所以必须由营销部门去索取答案。

PHP 在营销中的藏身之处

营销团队通常会在以下位置发现 PHP，下表列出了每种情况下应当索取的内容。

PHP 常见的位置 应当索取什么
运行在 WordPress、Drupal 或其他内容管理系统上的公司网站和各国网站 PHP 版本或供应商构建版本、更新日期，以及 PHP 是否已重启
由代理公司制作的活动微站和落地页 每个页面托管在哪里、由谁更新，以及是否仍然需要
患者和 HCP（医疗专业人员）门户、注册和登录区域 平台供应商给出的同样确认，以及涵盖该平台的数据处理协议
联系表单、订阅表单和资料下载表单 由哪个脚本接收数据、数据存放在哪里、谁能看到
网上商店、预约工具和其他由供应商托管的系统 供应商就 PHP 使用情况和更新状态出具的书面说明
自建的营销工具，如数据分析、邮件或问卷调查软件 是否运行在 PHP 上，以及由谁负责更新
仍在线的旧活动网站和子域名 将其下线，或迁移到持续保持更新的主机上

现在要检查什么

  1. 列出所有网站、微站、门户、表单和营销工具，包括由代理公司托管的网站和旧的活动网站。先从能从互联网访问的开始。
  2. 写下每一项由谁托管、由谁更新。没有明确负责人的网站，本身就是一个发现。
  3. 要求每家托管服务商或代理公司书面确认 PHP 版本或供应商构建版本、更新日期，以及 PHP 已重启。已修复的版本是 8.5.12、8.4.27、8.3.36 和 8.2.35。通过 Linux 发行版软件包安装 PHP 的托管环境，可能保留旧的版本号，因此应索取软件包的变更日志或构建日期。
  4. 对“我们有防火墙”或“我们改了一些设置”这类回答，应视为不完整。PHP 项目表示，只有更新才是完整的解决方案，它列出的各项设置只能降低暴露程度，并不能让安装变得安全。
  5. 对于暂时无法更新的系统，与 IT 商定是下线还是限制访问，并暂停向将不可用的页面投放付费流量。
  6. 请 IT 部门或托管服务商检查 10月20日以来的服务器日志，查找被滥用的迹象。如果发现异常，应按安全事件处理，并让安全团队和数据保护官参与。
  7. 为 PHP 8.1 及更早版本制定迁移计划，它们不再从 PHP 项目获得更新；同时也要为 PHP 8.2 制定计划，其安全支持将于 2026年12月31日结束。

规则怎么说

以下为一般性信息，不构成法律意见。

GDPR（条例 (EU) 2016/679）。第 32 条要求控制者和处理者采取与风险相适应的安全措施，包括定期测试。根据第 28 条，控制者只能使用能够提供充分保证的处理者，处理者必须协助履行安全和数据泄露方面的义务。发生个人数据泄露时，第 33 条要求在知悉后不得无故拖延，并在可行的情况下于 72 小时内通知监管机构，除非该泄露不太可能对个人造成风险。处理者必须不得无故拖延地通知控制者。第 34 条还规定，当对相关个人的风险很高时，必须告知他们。

NIS2（指令 (EU) 2022/2555）。它适用于所列行业中的中型及以上组织，其中包括医疗服务提供者、药品研究和生产，以及医疗器械生产。第 21 条要求采取风险管理措施，其中包括供应链安全和漏洞处理。发生重大事件时，第 23 条要求在 24 小时内发出预警，并在 72 小时内提交事件通知。具体细则由各国法律规定。

HIPAA（美国）。安全规则（Security Rule）要求受保护实体（covered entities）及其业务伙伴（business associates）对受保护的健康信息开展风险分析和风险管理。发生未加保护的受保护健康信息泄露后，受保护实体必须不得无故拖延地通知相关个人，最迟在发现后 60 个日历日内（164.404）。业务伙伴必须在同样的期限内通知受保护实体（164.410）。

问与答

WordPress 会受影响吗？

漏洞出在 PHP 上，也就是 WordPress 所运行的语言，而不是 WordPress 本身。只要网站服务器上的 PHP 没有更新，无论 WordPress 是什么版本，网站都有风险。更新 WordPress 或其插件并不能修复这些漏洞，Bitsight 也指出，Web 应用防火墙同样无法消除这些漏洞。

防火墙能保护我们吗？

PHP 项目表示，只有更新才是完整的解决方案，其他措施只能降低针对特定攻击路径的暴露程度，并不能让安装变得安全。防火墙可以在网站前面多加一层防护，但不能代替更新。

服务器显示的是旧版本号，是不是仍然没有修复？

不一定。从 Linux 发行版软件包获取 PHP 的服务器，可能在版本号不变的情况下已包含修复，所以应索取软件包的变更日志或供应商的说明。Kaspersky 也提到了同样的问题。修复只有在重启 PHP 之后才会生效。

如果网站运行的是 PHP 7.4 或 8.1 怎么办？

这些分支不再从 PHP 项目获得更新。针对 7.4、8.0 和 8.1，PHP 项目发布了最小化的源代码向后移植补丁（backport），供自行编译 PHP 或没有长期支持供应商的人使用。一些发行版和长期支持供应商也提供向后移植的修复。否则，网站就必须迁移到受支持的版本。Bitsight 发现，在能识别版本的 PHP 实例中，只有约三分之一运行在本次十月更新所覆盖的分支上，而 7.4 是迄今为止最常见的分支。

我们需要报告吗？

仅凭漏洞本身不需要。如果发生了个人数据泄露，或者按 NIS2 发生了重大事件，就产生通知义务，期限从你知悉之时起算。请尽早让数据保护官和法律顾问参与。

来源

更新记录

  • 2026年10月24日：初版，已对照上述来源核实。

我与医疗和制药企业合作，从事数字营销、CRM 和 AI 应用方面的工作。详见英文首页的 Working together。