ManageEngine ITOM 产品均不涉及“PHP2Shell”漏洞
AI 摘要
针对外界关注的“PHP2Shell”漏洞（CVE-2026-109618 & CVE-2026-109619），ManageEngine卓豪发布安全声明：OpManager Nexus及其他ITOM产品均不包含PHP组件，不涉及该漏洞，用户可安心使用。本文详细说明漏洞基本情况、受影响组件及修复版本，并给出环境排查与临时缓解建议，帮助用户厘清风险边界、做好整体安全防护。
ManageEngine OpManager Nexus 以及其他 ITOM 产品均不包含 PHP 组件，不涉及 "PHP2Shell" 漏洞（CVE-2026-109618 & CVE-2026-109619），请广大 ManageEngine ITOM 用户安心使用。
"PHP2Shell"漏洞是外界对两个 PHP 内核级高危漏洞的统称，其命名方式与 "Log4Shell" 类似，以突出其严重性。两个漏洞均被评为 CVSS v4.0 9.2 分（严重），且无需身份验证即可利用。
CVE-2026-109618 和 CVE-2026-109619 表示 PHP 中关键的未经身份验证的远程代码执行的漏洞 CVE 编号。以下是漏洞详情：
| 属性 | 详情 |
|---|---|
| 漏洞代号 | PHP2Shell |
| CVE编号 | CVE-2026-109618 & CVE-2026-109619 |
| CNVD编号 | CNVD-2026-41674 & CNVD-2026-41675 |
| 漏洞类型 | 远程代码执行（RCE） |
| 危险等级 | 严重（CVSS v4.0: 9.2） |
| 受影响组件 | PHP 解释器内核（非扩展、非框架层） |
| 认证要求 | 无需认证（Pre-auth RCE） |
| 修复版本 | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 |
您的安全使用是我们的首要责任
ManageEngine 卓豪始终将用户隐私与产品安全视为头等任务，我们不仅有专门的安全团队每天都在关注、测试、修复最新发布的安全漏洞，而且还致力于预测预防任何可能带来的潜在安全威胁。
还想再确认几件事？
按您现在最关心的那一项继续。
常见问题（FAQs）
- 什么是"PHP2Shell"漏洞？
答："PHP2Shell"是外界对2026年披露的两个PHP内核级高危漏洞的统称，分别对应CVE-2026-109618和CVE-2026-109619。两个漏洞均被评为CVSS v4.0 9.2分（严重），属于无需认证即可利用的远程代码执行（RCE）风险，影响PHP解释器内核而非普通应用层代码。
- ManageEngine OpManager Nexus 是否受本次漏洞影响？
答：不受影响。ManageEngine OpManager Nexus 未使用PHP组件，不涉及本次PHP2Shell漏洞。客户无需因该漏洞对OpManager Nexus本身执行PHP版本升级或相关PHP配置缓解。
- 有哪个ManageEngine卓豪ITOM产品涉及本次漏洞么？
答：无，ManageEngine 卓豪 ITOM 产品线所有产品均未使用 PHP 组件，不涉及本次 PHP2Shell 漏洞。
- 既然OpManager Nexus和ITOM产品不涉及，我们还需要做什么？
答：对OpManager Nexus及其他ITOM产品本身，无需做任何操作，安心使用。但建议对整体环境中其他可能使用PHP的独立系统、第三方组件或自建应用进行排查；如发现运行受影响PHP版本，应升级至8.5.12/8.4.27/8.3.36/8.2.35或更高版本。同时继续关注官方安全公告和常规补丁管理流程。
- 如果暂时无法升级PHP，有哪些临时缓解措施？
答：官方明确指出升级PHP是唯一完整的解决方案。应立即升级至PHP 8.5.12、8.4.27、8.3.36或8.2.35或更高版本。此外，官方给出的临时缓解仅能降低部分攻击路径暴露面，不能替代升级。针对OOM路径，可将memory_limit设为-1并通过php_admin_value等方式防止应用覆盖，同时降低post_max_size；针对陈旧状态路径，可禁用session.upload_progress.enabled。这些措施不能消除漏洞，仍应尽快安排升级。
