vcfc涉及漏洞CVE-2026-109618吗

应该不涉及的

具体联系400确认下

1. **结论：VCFC 产品本身不受 CVE‑2026‑109618 漏洞影响**
VCFC 的 Web 管理界面、后台业务服务为自研 Java/Python 技术栈，**产品内部没有部署 PHP 解析环境**，不存在该 PHP 漏洞的利用条件。

>
> 注意区分：H3C 防火墙 / IPS 特征库 V7‑IPS‑1.0.426 已经新增 58589 签名，可以检测网络中其他业务服务器的 PHP2Shell 攻击报文，该是**检测防护能力，不代表 VCFC 自身受漏洞影响**H3C。

2. 扫描器误报常见原因

- 漏洞扫描器把 VCFC 的 HTTP 响应头、错误页面特征误识别成 PHP 服务；
- 扫描目标搞错，把后端业务服务器的 PHP 漏洞算到 VCFC 控制器上。

3. 核验命令（登录 VCFC 后台 Linux shell 执行）

```
rpm -qa | grep php
```

正常无任何 php 相关包输出，说明系统未安装 PHP 组件。

4. 安全建议

- VCFC 管理网口尽量隔离，不要直接暴露公网；
- 如果扫描报告持续报该 CVE，可以把`rpm -qa | grep php`的输出作为佐证提交测评机构；
- 若内网有真实 PHP 业务服务器，需要对**业务服务器本身**升级 PHP 至安全版本（PHP≥8.2.35 / ≥8.3.36 / ≥8.4.27 / ≥8.5.12）。

下个P0C扫描一下