PHP 存在严重漏洞：意大利有 285.149 个服务面临风险

意大利国家网络安全局发布国家警报，指出该国检测到的 PHP 服务中有81,9%可能存在PHP2Shell漏洞。该分析由意大利网络安全中心 (Csirt Italia)提供，该中心监测了超过741.523 个PHP 实例，并识别出285.149 个存在漏洞的版本。鉴于 PHP 为全球绝大多数网站提供支持，这种情况对于意大利的数字环境而言前所未有。

PHP2Shell 背后的两个关键缺陷

这两个漏洞分别被标记为CVE-2026-109618和CVE-2026-109619，被评为严重级别，CVSS v4.0 评分为9,2。它们都是释放后使用 (Use After Free)漏洞，会在内存不足的情况下发生。未经身份验证的远程攻击者可以利用精心构造的 HTTP 请求（例如，multipart 请求）强制耗尽内存，破坏内部结构，并最终以 PHP 进程的权限执行任意代码。

这两个CVE的技术细节

La prima vulnerabilità (CVE-2026-109618）源于职能管理不当 longjmp() 当 PHP 由于内存不足而停止处理时，这会导致内部结构处于不一致的状态，从而为内存操纵打开方便之门。
第二（CVE-2026-109619) 涉及在超时或严重错误情况下保留对已释放内存的引用，尤其是在 PHP 8.5 中监控会话上传或生成回溯时。

第三个漏洞目前尚未修复。

该机构还报告称 CVE-2026-115560如果参数满足特定条件，则允许远程代码执行。 session.serialize_handler 修改为 php 在开始会话之前和 session.upload_progress.enabled 此功能仍然有效。目前尚无修复方案；建议的缓解措施是通过设置禁用此功能。 session.upload_progress.enabled=0.

经理操作指南

当局呼吁立即采取行动，优先保护直接暴露于互联网的系统。建议包括：

• 将所有 PHP 组件更新到正确的版本（8.5.12、8.4.27、8.3.36、8.2.35）。
• 禁用该参数 session.upload_progress.enabled 将其设置为 0。
• 配置 Web 应用程序防火墙 (WAF) 为阻止模式，并针对相关漏洞设置特定规则。
• 如果无法更新，请考虑暂时断开存在漏洞的服务。
• 进行回顾性日志分析，以识别异常的 HTTP 请求、内存错误或意外的 PHP 进程崩溃。

最后，必须检查命令行级别正在使用的 PHP 版本（php -v）在 Web 服务器内部（例如） apachectl -M | grep php 对于 mod_php 或 ps -eo pid,ppid,args | grep '[p]hp-fpm' （针对 PHP-FPM）。只有这样才能确保修复真正有效。