不是我们的漏洞，却是我们的问题

为什么 .NET / Umbraco 圈子应该认真对待 PHP2Shell 漏洞

本周，两个严重的 PHP 漏洞让数以百万计的 WordPress 和其他 PHP 网站面临风险。Umbraco 网站不受影响，但在 AI 时代，任何平台都不能掉以轻心。本文解释为什么 .NET 更有优势，以及每位网站负责人现在应该做什么。

Umbraco · 安全

打补丁。加防护。早准备。

10 月 20 日，PHP 项目发布警告，指出 PHP 本身存在两个严重漏洞：CVE-2026-109618 和 CVE-2026-109619。修复尚未就绪，细节就已泄露。补丁于 10 月 21 日随 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 发布，此时已有攻击流量的报告。这两个漏洞都可能让攻击者无需登录就在 Web 服务器上运行自己的代码。

如果你的网站基于 Umbraco，就不受影响。Umbraco 构建在 Microsoft .NET 之上，不使用 PHP。但这并不意味着可以放松。本文将说明为什么 .NET 和 Umbraco 网站处境更好，以及在攻击者也开始使用 AI 的今天，为什么每个平台都需要加强防护。

要点

Umbraco 不受影响漏洞存在于 PHP 解释器中。Umbraco 运行在 .NET 上，这次无需打任何补丁。

规模吸引攻击者PHP 支撑着大部分网站，WordPress 是主要原因。一个漏洞就能打开数百万扇门。

谁在维护很重要Microsoft 拥有 .NET，并按固定的每月计划修复漏洞。Umbraco 紧随其后。

AI 缩短了时间窗口在任何平台上，攻击者都能比以往快得多地把已发布的修复变成可用的漏洞利用代码。

在前面加一道盾Cloudflare 这类 Web 应用防火墙能在漏洞公布到你安装补丁之间保护你。

发生了什么

这两个漏洞都位于 PHP 核心，涉及请求内存耗尽或遇到致命错误后 PHP 的清理方式。在特定条件下，一个请求遗留的数据可被用来控制服务器。任何提供网页服务的 PHP 安装都面临风险，无论使用哪种 Web 服务器。Palo Alto Networks 统计到超过 2200 万台暴露的服务器，而不再受支持的旧版 PHP 根本不会得到修复。

为什么 WordPress 让 PHP 成为更大的目标

约 70% 的网站使用某个版本的 PHP，其中 WordPress 占了很大一部分。当一个平台支撑着如此多的网站时，针对单个漏洞进行自动化攻击就很划算。攻击者几小时内就能扫描整个互联网。他们不需要知道你是谁，只需要知道你用的是什么。

插件生态进一步增加了风险。一个典型的 WordPress 网站依赖几十个来自不同作者的插件，每个插件的更新方式各不相同。许多网站搭建一次后就被留在共享主机上，运行着主机商多年前选定的 PHP 版本。

为什么 .NET 处境更有利

.NET 由 Microsoft 拥有和维护。安全修复经过 Microsoft 安全响应中心（MSRC）处理，并按固定的每月计划发布，即“补丁星期二”，必要时还会发布紧急更新。在 Windows 服务器上，.NET 更新可以通过 Microsoft Update 与操作系统修复一起推送。

可预期的支持每个 .NET 版本都有公布的支持结束日期。长期支持版本提供三年的修复，你始终清楚自己的状况。

编译后的代码应用代码在部署前就已编译。上传到服务器的文件无法直接作为代码运行，这堵住了 PHP 网站最常见的被入侵途径之一。

同一个维护方运行时、框架和 Windows Web 服务器都来自同一家公司，它拥有全球最大的安全团队之一，也承担着巨大的声誉风险。

这并不意味着 .NET 无懈可击。2025 年 10 月，Microsoft 修复了 ASP.NET Core Web 服务器中的一个严重漏洞。区别在于修复来得多快、沟通得多清楚、应用起来多容易。

Umbraco 如何保持更新

Umbraco 紧跟 .NET。它的长期支持版本与 .NET 的长期支持版本对齐，因此 Umbraco 17 运行在 .NET 10 上。Umbraco HQ 在 GitHub 上公开发布安全公告，并以补丁版本的形式发布修复，通常几分钟即可应用，无需完整升级。

如果你使用的旧版本已不再获得修复，请阅读五步规划你的 Umbraco 升级。

为什么规模小反而有帮助

Umbraco 支撑的网站远少于 WordPress。这不能保证安全，但改变了攻击的成本收益。自动化攻击总是瞄准数量最多的地方。此外，Umbraco 网站通常由代理机构和内部开发团队构建，使用一小批维护良好的软件包，而且一般都有支持协议。网站更少、插件更少、关注的人更多，目标自然更小。

在 AI 时代，每个平台都面临风险

AI 工具如今能帮助攻击者读懂安全补丁、弄清它修复了什么，并写出可用的漏洞利用代码，有时只需几小时。这次的 PHP 漏洞正是如此：细节在修复之前泄露，不久之后可用的示例代码就开始流传。从修复发布到攻击开始的间隔几乎缩短为零，这对 .NET 和 Umbraco 同样适用。

无论你使用哪个平台，都应假设每个漏洞在公布当天就会被利用。

我们怎么做，你可以怎么做

在前面部署 CloudflareWeb 应用防火墙能在攻击到达服务器之前将其过滤。Cloudflare 早已发现并过滤了针对这些 PHP 漏洞的攻击流量，并会在重大漏洞公布后迅速更新其托管规则。

关上侧门部署 Cloudflare 后，屏蔽直接访问服务器 IP 地址的流量，防止攻击者绕过它。

按计划打补丁每月安装 .NET 和 Windows 更新，Umbraco 补丁版本一发布就安装。不要留到下次升级时再处理。

使用受支持的版本已停止支持的 .NET 和 Umbraco 版本不会再有修复。要在支持结束之前规划升级，而不是之后。

减少软件包每个软件包都是你必须信任的代码。删除不再使用的软件包。

锁好后台为每位编辑启用双重身份验证，并尽可能通过 IP 地址或 Cloudflare Access 限制对 Umbraco 后台的访问。

监控与备份监控异常活动，并在服务器之外保存经过测试的备份，这样即使有攻击得逞，也能迅速恢复。

如果你运行 WordPress 或其他 PHP 网站

立即将 PHP 更新到 8.5.12、8.4.27、8.3.36 或 8.2.35，或请主机商确认已完成更新。如果你的网站运行的旧版 PHP 已不再受支持，就不会有修复，是时候规划迁移了。

如果你需要对 Umbraco 网站进行安全审查、在网站前部署 Cloudflare，或从不再受支持的平台迁移的建议，欢迎联系我们。