PHP2Shell：这一PHP漏洞
对您德国子公司的账务意味着什么。

PHP2Shell听起来像是IT部门的事。但对德国子公司而言，这同样关乎账簿记录：如果网店或文档归档系统运行在PHP之上，它们就属于德国税务局审查的系统范围。本文从母公司的视角说明：子公司现在负有哪些义务，以及集团内由谁推动哪些事项。

事件经过

“PHP2Shell”是指PHP中的两个严重漏洞（CVE-2026-109618和CVE-2026-109619）。PHP是众多网站和网店所使用的编程语言。德国联邦信息安全办公室（BSI）——德国的网络安全主管机构——援引的严重性评分为9.2分（满分10分）：攻击者可在无需登录、无需用户任何操作的情况下，远程在Web服务器上执行恶意代码。补丁已于德国时间2026年10月21日16时发布。截至目前，BSI尚未获悉经证实的漏洞利用案例；但已有安全公司报告了首批攻击尝试。

您的系统是否受到影响，请参阅我们的数据中心合作伙伴DAVINCI Rechenzentrum的文章 《我是否受PHP2Shell影响？》（德文）.

为什么Web服务器也属于账务范畴

在德国，电子账簿应如何记录，由GoBD（德国电子账簿与记录合规原则）规定。GoBD是德国联邦财政部发布的一份行政通知，也是税务局开展审查的依据。据此，数据处理系统不仅包括财务会计本身，还明确涵盖各类前置与辅助系统，例如进销存管理、收银、支付结算、开票、归档和文档管理，也包括它们之间的接口。系统运行在自有硬件上还是云端，均无区别（GoBD Rz. 20）。

在集团中，这些系统往往分布在多个国家：

漏洞存在于PHP本身；据安全研究人员称，即便是基于Magento、Shopware或WooCommerce、自身代码毫无缺陷的网店，也同样可能遭受攻击。即使母公司的ERP并非基于PHP，被篡改的订单仍可能通过自动接口传入其中。

集团内由谁负责

德国GmbH（德国有限责任公司）是独立的法人。其总经理必须确保账簿记录合规（§ 41 GmbHG），并履行公司的税务义务（§ 34 AO）。即使总经理常居境外、全部IT均由母公司负责，这一点同样适用。德国联邦财政部对此有明确表述：

“电子账簿及其他必要电子记录是否合规[……]，完全由纳税人自行负责。即使将记账和记录工作在组织上和技术上部分或全部外包给第三方（例如税务师或数据中心），亦是如此。”

GoBD Rz. 21 · 德国联邦财政部（BMF）2019年11月28日通知（中文为非官方译文）

从子公司的角度看，母公司的集团IT正是这样的“第三方”。

入侵会触及的四项义务

• 不可篡改性： 记账分录或记录不得被更改至无法确认其原始内容的程度（§ 146 Abs. 4 AO，GoBD Rz. 108）。一旦有外部写入访问，未经核查便无法再确保这一点。
• 防止丢失： 系统必须采取保护措施，防止数据丢失和未经授权的更改（GoBD Rz. 103）。如因此无法再提供数据，账簿记录在形式上即不再合规（Rz. 104）。具体后果视个案而定（Rz. 105）。
• 保存与数据访问： 账簿须保存十年，记账凭证须保存八年（§ 147 Abs. 3 AO）。在税务稽查（法律上称为“外部审查”）中，税务局可以调取相关数据（§ 147 Abs. 6 AO），包括前置与辅助系统中的数据（GoBD Rz. 159）。
• 证明力： 对于合规的账簿记录，税务局以其作为征税依据，除非有理由质疑其实质正确性（§ 158 AO）。如税务局无法查明征税基础，将进行估算（§ 162 AO），并须考虑与估算相关的一切情况。

“一次攻击并不会让账簿自动失去价值。在税务稽查中，关键在于公司能否说明哪些数据可能受到影响，以及这些数据是如何恢复和核对的。这一证明必须由德国公司自己拿得出来，而不仅仅是母公司的IT。”

Fatma Tabak，税务师 · TABAK Steuerberatung

重建：现在哪些数据至关重要

一切始于一个日期：系统被视为不再可信的最早时间点。由此得出：

1. 基准日之前 的数据，取自事件发生前一份日期明确的备份。
2. 基准日之后 的数据，须与受影响系统以外的来源进行核对：银行流水、支付服务商和电商平台的结算单、已发出的发票。在集团中还须额外核对：母公司ERP中的集团内部结算。
3. 补录须可识别： 重建的数据不得看起来像是最初就如此录入的（§ 146 Abs. 4 Satz 2 AO，GoBD Rz. 111）。
4. 核对过程须存档： 使用了哪些来源、涉及哪个期间、发现了哪些差异。

“在许多集团中，IT在母公司，义务却在德国子公司。因此，PHP2Shell之后，必须有人在德国清楚掌握：哪些系统可能受到影响、从何时起不再可信，以及干净的备份存放在哪里。这个日期对账务而言也是最关键的数字。”

Metehan Kurt，IT顾问 · DAVINCI Rechenzentrum

在母公司重建？先查§ 146 AO

事件发生后，把网店或文档归档迁到母公司重建？从税务角度看，这并非可以自由决定。账簿和记录原则上须在德国记录和保存（§ 146 Abs. 2 AO）。以电子形式保存时，也可存放在其他欧盟成员国，前提是税务局能够完整访问数据（§ 146 Abs. 2a AO）。若存放在欧盟以外的国家，公司须获得税务局的批准（§ 146 Abs. 2b AO）。未经批准擅自迁移的，可能被处以2,500至250,000欧元的延误金（§ 146 Abs. 2c AO）。

如已获得批准，已报告的系统所在地一旦变更，须立即通知税务局（§ 146 Abs. 2b Satz 4 AO）。基础知识请参阅我们的文章 15分钟读懂您的德国子公司.

子公司必须通知税务局吗？

无论是《德国税收通则》（AO）还是GoBD，均未规定主动申报攻击或数据丢失的一般性义务。但在以下两种情况下，公司必须采取行动：

• 发现申报有误： 如发现已提交的申报（例如增值税预申报）因数据被篡改而不正确，并可能导致少缴税款，须立即报告并予以更正（§ 153 Abs. 1 AO）。
• 正在进行的税务稽查： 对于2025年以来下令开展的稽查，税务局在发出“合格协助要求”后，可处以每日75欧元的协助延误金，最多计150天（§ 200a Abs. 2 AO）。如延误情有可原，则不予处罚。如有数据缺失，公司应及时说明（§ 200a Abs. 4 AO）。

向数据保护监管机构报告是另一个问题；关于网店的客户数据和发票，请参阅 PHP2Shell之后，如何在德国开展线上销售。关于事件的相关费用，请参阅： PHP2Shell事件：在税务上主张相关费用.

事件须纳入程序文档

程序文档描述账簿记录在技术和组织层面如何运作。它必须完整记录所有系统和流程变更（GoBD Rz. 150），实行版本管理，并与所使用的软件版本相对应（Rz. 154）。PHP2Shell之后，几乎总会有所变化：PHP版本、服务器、登录凭据，往往还有备份状态。只要可追溯性和可核查性未受影响，缺少文档并不构成具有实质影响的形式缺陷（Rz. 155）。而遭受攻击之后，恰恰这一点成了悬而未决的问题。详情请参阅我们的 GoBD检查清单.

管理层现在应当推动的事项

1. 请集团IT或托管服务商书面确认：子公司有哪些系统运行在PHP上，以及这些系统何时完成了更新。
2. 在受影响系统之外，保全银行、支付服务商和电商平台2026年10月的结算单。
3. 如有疑点，确定基准日，并与税务师事务所协调重建工作。
4. 在将任何系统迁往境外之前，先核查§ 146 AO。
5. 将更新、基准日、备份状态和核对情况记入程序文档。

我们打通IT与账务：技术层面由DAVINCI Rechenzentrum提供支持，税务层面由我们的合作事务所TABAK Steuerberatung负责。我们以中文为您服务——直接沟通，无需中间人。

常见问题

参考来源

• BSI网络安全警告（2026年10月21日）：PHP——严重漏洞威胁全球Web应用
• 德国联邦财政部（BMF），《2025年官方AO手册》，附录33——GoBD
• § 34 AO——法定代表人的义务
• § 41 GmbHG – 账簿记载
• § 146 AO——账簿记录规范（Abs. 2、2a、2b、2c、4）
• § 147 AO – 资料保存与数据访问
• § 153 AO——申报的更正
• § 158 AO——账簿记录的证明力
• § 162 AO——征税基础的估算
• § 200a AO——合格协助要求