你的 PHP 是否受 PHP2Shell（CVE-2026-109618）影响？
输入你的站点域名，对该漏洞进行一次免费、只读的在线检查。我们只向你的首页和少量公开路径发送普通 HTTP GET 请求 — 不发攻击流量，不做漏洞利用。
受影响版本
| PHP 8.1 | 8.1.0 – 8.1.33 |
|---|---|
| PHP 8.2 | 8.2.0 – 8.2.29 |
| PHP 8.3 | 8.3.0 – 8.3.24 |
| PHP 8.4 | 8.4.0 – 8.4.12 |
| PHP 8.5 | 8.5.0 – 8.5.1 |
检查时间: 2026-10-22 (data)
本检查的工作方式
- 我们只发送少量普通 HTTP GET 请求 — 与浏览器访问你的网站时发出的请求相同。
- 我们绝不发送漏洞利用载荷或攻击流量。检查只读取公开可见的版本响应头和页面。
- 检查结果仅缓存 10 分钟，不入库存储。你的查询不会与你的身份关联。
FAQ
什么是 CVE-2026-109618（PHP2Shell）？
CVE-2026-109618（与 CVE-2026-109619 一并跟踪）是 2026 年 10 月披露的 PHP 严重漏洞。当受影响的 PHP 构建处理攻击者可控输入时可被利用，首要防御是运行已修复的 PHP 版本。该漏洞已列入 CISA 已知被利用漏洞（KEV）目录。
我的 PHP 版本受 CVE-2026-109618 影响吗？
8.1 至 8.5 分支中低于修复版本的 PHP 均受影响（各分支精确范围见上方受影响版本表）。如果你的站点通过 X-Powered-By 响应头暴露 PHP 版本，本检查器会立即读取并与受影响范围比对。
这个检查器如何检测我的站点？
我们发送少量普通 HTTP GET 请求（与浏览器访问相同），读取公开可见的版本信号：X-Powered-By 和 Server 响应头、首页正文，以及 expose_php 开启时的 PHP 公开 credits 页面。我们绝不发送漏洞利用载荷，也不尝试触发漏洞。
为什么我的结果是「无法判定」？
最常见的原因：站点位于 CDN 之后（版本响应头反映的是 CDN 而非源站）、WAF 或防护拦截了探针、或检测到 PHP 但无法确定版本。结果页会明确展示我们看到的信号以及应在服务器上核实什么。
「未检测到」代表我的 PHP 是安全的吗？
不代表。「未检测到」仅表示探针未发现版本信号 — 例如 expose_php 关闭且没有暴露 PHP 路径的站点。很多站点对 HTTP 探针完全隐身。请在下结论前在服务器上确认 PHP 版本（php -v 或主机面板）。
如何修复 CVE-2026-109618？
将 PHP 升级到对应分支的修复版本（见受影响版本表）。Docker 用户应拉取更新的基础镜像；共享主机请联系服务商升级；自管服务器使用发行版包管理器或可信的 PHP 软件源。