PHP2Shell 高危漏洞对 Avaya 产品的影响及应对措施
10 月 21 日，PHP 官方发布紧急更新，修复两个可被远程利用的内存漏洞（CVE-2026-109618、CVE-2026-109619，统称 PHP2Shell，CVSS v4.0 评分 9.2）。Avaya 确认八条产品线受影响，已陆续发布 PSN006510u—PSN006518u 共 8 份通告，风险级别均为 High，要求立即处置。我们把 8 份 PSN 的补丁信息整理成了对照表，方便逐台核对。
1. 漏洞的危险之处
这次的问题出在 PHP 内部的内存管理上。CVE-2026-109618 是内存溢出处理不当：PHP 在 OOM 时强行中断请求，清理程序却把没初始化完的数据当作有效数据处理，造成内存破坏。CVE-2026-109619 则是典型的释放后使用：请求结束后部分全局状态没有被正确重置，同一 worker 处理的下一个请求会读到过期数据。
两者的共同点是：攻击者不需要账号，也不需要任何应用层漏洞，只要能向 Web 服务发出构造好的 HTTP 请求（通常是超量 Header 或深层嵌套的 multipart 表单）就有机会拿到系统权限。在 Apache mod_php 部署形态下风险最高，公开的概念验证显示，未认证请求在应用代码执行之前就能触发攻击路径。
官方修复版本为 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。已停止维护的 PHP 5、7、8.0、8.1 分支不再有官方补丁。
至于通信系统为什么也会受影响，Avaya 在 PSN 里说得很直接：产品内置的 PHP 代码存在上述漏洞。通信平台的管理界面、运维门户、报表模块大量依赖 PHP，底层的洞就这样传导到了整台设备上。
2. 受影响产品与补丁对照
PSN 编号带尾缀 u 表示通告会持续更新，部分老版本的修复方案还在推进，建议订阅 Avaya E-notifications 跟进。
| 产品 / PSN | 受影响版本 | 官方处置方案 |
|---|---|---|
| Communication Manager PSN006512u | 全部版本 | 10.1 → 补丁 cm-10.1-php2shell-vuln-fix.tar 10.2 → SSP23（10-26 发布） 10.3 → SSP01（10-28 发布） 8.1.x → 私有补丁（10-29 发布，需有效维保合同，向 Avaya 提交 Service Request 获取） |
| Application Enablement Services PSN006513u | 全部版本 | 10.1 → 补丁 aes-10.1-php2shell-vuln-fix.tar.gz 10.2 → SSP23（10-26 发布） 10.3 → SSP01（10-28 发布） |
| Aura Device Services PSN006516u | 全部版本 | 10.1.x → 补丁 aads-10.1-php2shell-vuln-fix.bin 10.2.0.x → 先升级至 10.2.1，再应用 SSP24 10.2.1.x → SSP24（10-26 发布） 10.3 → SSP01（10-28 发布） 8.1.x → 补丁（10-29 发布） |
| IP Office PSN006518u | 全部版本 | 12.x → CP，随 IP Office 12.3 GA 下载 PHP2SHELL_CVE-2026-109618-109619_12.x.zip 11.1.x → CP，随 11.1 FP3 SP2 GA 下载 11.0.x / 10.x → CP，随 11.0 FP4 SP8 GA 下载 |
| Avaya Meetings Server PSN006517u | 全部版本 | 9.1.15.x / 9.1.14.x → 应用 Hotfix SSP-045-25.zip，在 Meetings Management 与 Media Server 上经 iView Web UI 执行 9.1.13.x → 先迁移至 9.1.14.x 或 9.1.15.x |
| Avaya Analytics PSN006510u | 4.1.x / 4.2.x / 4.3.x （含所有 补丁版本） | 4.0.x / 4.1.x → 升级至 4.2 或更高，再应用对应补丁 4.2.x → Patch 002_1 / 006（11-06 / 11-11） 4.3.0.x → Patch 002_2 / 008（11-06） 4.3.1.x → Patch 002（11-11）、Patch 003（已发布） 4.3.1.2 → 版本本身已含修复 |
| Aura Web Gateway PSN006514u | 全部版本 | 10.1.x → 先升级至 Aura 10.2，再应用 AAWG 10.2 SSP13 10.2.x → SSP13（10-28 发布，安装参考 PSN006522u） 10.3 → 不受影响 |
| Avaya Experience Portal PSN006515u | 8.x | 8.1.2.x → 升级到 AVL Patch 2607 / 2609，再应用 PHP_Hotfix_2610.tar.gz 8.1.1 / 8.1.0 → 同样走 AVL 补丁加 PHP 热修复的路径 仅适用于 Avaya RHEL（AVL）部署，Software Only 方案不在此列 |
两个细节值得留意。一是 AAWG 的 PHP 包并没有被实际使用 ，Avaya 给出的办法是直接移除：以 admin 登录 CLI 切换 root 后执行 rpm -ev `rpm -qa | grep php` ，不必等 SSP 窗口。二是 IP Office 打完补丁后，基于版本号的漏扫工具仍可能报漏洞 ——Avaya 对 11.1.x 及更早版本采用的是回移修复并重建 RPM，版本号不会变化，属正常现象，别因此重复打补丁。
3. 部分早期版本，修复方案还在推进
CM 6.x 及更早、7.x，AES 6.x / 7.x / 8.x，AADS 7.1.x，Analytics 3.x，AAWG 3.x，以及 Meetings 9.1.12.0 及更早的版本，Avaya 尚未给出对应的修复方案，PSN 会随进展更新。
这些系统里有一部分已进入或接近停止支持阶段，等待补丁未必是最优解。更现实的做法是把管理界面从互联网和办公网段撤出，只保留运维终端经跳板机受控访问，同时在边界上对 multipart 请求做大小和嵌套深度的限制，并同步规划版本升级。
4. 补丁窗口期的几项缓解措施
在完成升级之前，PHP 官方与各国 CERT 给出的临时措施可以明显降低被利用的概率，但它们只是缓解，不能替代补丁：
- 关闭上传进度功能： session.upload_progress.enabled=Off ，改完重载 PHP-FPM。这一项直接切断了已验证的攻击路径，收益最大；
- PHP 8.5 环境设置 fatal_error_backtraces=0 并重启 worker；
- 通过 FPM pool 的 php_admin_value 锁定 memory_limit ，不给攻击者把 worker 推到 OOM 的空间；
- 收紧请求体： post_max_size 降到 8M（有上传业务的 32M），网关层限制 Header 数量、multipart part 数与嵌套深度，WAF 应急规则设为拦截而不是仅记录。
有一个反向操作要提醒：不要用 RLIMIT_AS 或 RLIMIT_DATA 来限制 PHP 进程内存。这两项触顶会让 mmap() 失败，反而把请求推进 CVE-2026-109618 的漏洞路径。
5. 我们能帮上什么
作为 Avaya 钻石级合作伙伴，8 份 PSN 我们都已逐份核对。把您手上的系统版本清单发过来，我们可以直接给出每台设备对应哪个补丁、补丁是否已发布、是否需要先升级的结论，并标出暂无补丁、只能靠隔离防护的节点。
补丁获取方面，CM / AADS 8.1.x 等受限补丁需要有效维保合同，我们可以协助核查合同状态、代提 Service Request；实施环节支持远程或现场。如果怀疑系统已被利用，也可以协助做日志取证和异常进程排查。
这次漏洞真正麻烦的地方，不是补丁本身，而是内置 PHP 的系统往往不止一台——管理口、会议服务器运维门户、报表组件，平时都当作"设备"来管理，恰恰容易漏掉。先把清单摸清，再排优先级。
6. 需要协助排查？
如果您在运行上述任一产品，希望确认受影响范围和修复路径，欢迎联系我们，可先做一轮版本影响性评估。
北京神州世通信息技术有限公司（China-netel Information Technology Co., Ltd.）
Avaya 钻石级合作伙伴 · 商业市场核心合作伙伴
本文依据 Avaya 官方 PSN006510u—PSN006518u（2026-10-26 起发布）、PHP 官方安全公告、CERT/CC VU#763488 及英国 NCSC 公开通告整理。PSN 带尾缀 u 表示持续更新，具体补丁编号与适用范围请以 Avaya support 站点最新版原文为准。
* Avaya、Avaya Aura 为 Avaya LLC 注册商标。实施前请遵循原厂支持流程。