PHP中一个意外公开的安全漏洞，这种PHP是全球使用最广泛的Web编程语言，周三在全球IT行业引发了紧急警报。名为“PHP2Shell”的两个漏洞存在于PHP解释器的核心（CVE-2026-109618和CVE-2026-109619），威胁着数百万个网站、在线商店和政府门户。由于技术细节和初步的功能测试（概念验证）已提前在互联网上泄露，德国联邦信息安全局（BSI）已将警报级别提高到次高级别“橙色”，并建议运营商在有疑问时立即断开服务器的连接。
停电中的市政当局，LiteSpeed用户解除警报
在德国，当局和公共机构做出了严厉反应：美因茨、波茨坦和哈尔伯施塔特等几个城市已出于预防原因完全关闭了其Web门户。大学和柏林大学医院Charité也一度离线，以防止被入侵。这些漏洞在CVSS评分标准上的严重程度高达9.2分（满分10分），允许攻击者在没有任何登录的情况下远程执行恶意代码（远程代码执行）。
虽然Apache服务器（尤其是在使用过时的mod_php模块时）和PHP-FPM基础架构的管理员在极大的时间压力下不得不安装紧急补丁，但基于LiteSpeed Web服务器的系统的运营商则松了一口气。恐慌发生后的行业分析和安全报告显示，LiteSpeed环境在很大程度上不受直接威胁浪潮的影响。
为什么LiteSpeed服务器能躲过恐慌
安全专家将LiteSpeed架构的免疫性或最低风险归因于其处理Web请求方式的基本差异：
- 不同的请求架构：“PHP2Shell”的核心漏洞基于内存清理错误，当 HTTP 请求超出配置限制并强制 PHP 进程发生内存不足 (OOM) 崩溃时。LiteSpeed 使用其专有的 LSAPI (LiteSpeed 服务器应用程序编程接口) 进行 PHP 连接。它处理和过滤数据流的方式与传统的 Apache Web 服务器根本不同。在测试环境中，通过 HTTP 标头专门触发损坏内存状态的尝试失败了。
- 应用程序代码前没有攻击面：虽然 Apache 配置中的威胁是致命的，因为攻击在任何 WordPress 或应用程序代码执行之前就已经发生，但 LiteSpeed 对 PHP 工作进程进行了更严格的封装。流传的漏洞利用专门设计用于利用 Apache 或 FPM 进程结构中的弱点，但在 LiteSpeed 上却徒劳无功。
- 共享主机中的严格用户隔离：许多基于 LiteSpeed 的现代托管平台默认在高度受限的隔离系统环境 (CloudLinux/CageFS) 中运行每个网站。即使在假设的利用情况下，攻击者也会被困在一个虚拟的围栏中，无法访问主服务器或相邻的网站。
只有更新才能提供持久的安全
尽管 LiteSpeed 具有结构优势，但安全机构（如 BSI 和美国网络安全与基础设施安全局 (CISA)）强调，网站管理员不得产生虚假的安全感。由于这些是 PHP 编程语言核心本身的错误，因此没有可靠的配置更改（变通方法）可以永久阻止攻击。
PHP 基金会的开发人员现已为所有支持的版本提供了官方安全更新（PHP 8.2.35、8.3.36、8.4.27 和 8.5.12）。呼吁全球管理员立即安装这些更新并重新启动受影响的服务器服务。
