PHP 核心曝远程代码执行漏洞“PHP2Shell”，影响PHP5之后所有主版本
两个代号为“PHP2Shell”的 PHP 核心远程代码执行零日漏洞在原定禁运期结束前意外外泄。这两个漏洞追踪编号为 CVE-2026-109618 与 CVE-2026-109619，影响 PHP 5 及之后的所有主版本，涵盖 PHP 5.x、7.x、8.x 全系。PHP 官方安全团队将其严重程度均评定为 CVSS v4.0 9.2 分，并宣布将紧急安全更新提前一天至 UTC 时间 10 月 21 日 14:00（北京时间 22:00）发布。
据流出的名为“PHP2Shell”漏洞利用工具截图及演示视频，显示攻击者无需身份验证即可在运行 WordPress、Laravel、Drupal、Magento 及 MediaWiki 等主流CMS及框架的服务器上远程执行任意代码并获取系统 Shell。漏洞根植于 PHP 解释器底层核心，因此波及面覆盖整个 Web 生态。
根据 PHP 维护政策，本次官方补丁仅面向 PHP 8.2 至 8.5 分支发放。CyberQ 指出，全球公开暴露版本信息的 150 万台 PHP 主机中，约 59%（逾 88.4 万台）仍运行已停止官方支持的 PHP 8.1 及更早版本，只能依赖 Linux 发行版回移补丁或直接升级大版本。
目前 watchTowr 确认尚未发现在野攻击，且补丁发布前暂无有效临时缓解措施。安全研究人员预计，补丁公开后 15 分钟内就可能出现基于补丁逆向的自动化攻击。建议各企业运维团队立即盘点公网 PHP 资产，第一时间完成版本升级，并严密监控 Web 服务进程派生异常 Shell 子进程的行为。
[消息等级 Level B · #重要 ]
两个代号为“PHP2Shell”的 PHP 核心远程代码执行零日漏洞在原定禁运期结束前意外外泄。这两个漏洞追踪编号为 CVE-2026-109618 与 CVE-2026-109619，影响 PHP 5 及之后的所有主版本，涵盖 PHP 5.x、7.x、8.x 全系。PHP 官方安全团队将其严重程度均评定为 CVSS v4.0 9.2 分，并宣布将紧急安全更新提前一天至 UTC 时间 10 月 21 日 14:00（北京时间 22:00）发布。
据流出的名为“PHP2Shell”漏洞利用工具截图及演示视频，显示攻击者无需身份验证即可在运行 WordPress、Laravel、Drupal、Magento 及 MediaWiki 等主流CMS及框架的服务器上远程执行任意代码并获取系统 Shell。漏洞根植于 PHP 解释器底层核心，因此波及面覆盖整个 Web 生态。
根据 PHP 维护政策，本次官方补丁仅面向 PHP 8.2 至 8.5 分支发放。CyberQ 指出，全球公开暴露版本信息的 150 万台 PHP 主机中，约 59%（逾 88.4 万台）仍运行已停止官方支持的 PHP 8.1 及更早版本，只能依赖 Linux 发行版回移补丁或直接升级大版本。
目前 watchTowr 确认尚未发现在野攻击，且补丁发布前暂无有效临时缓解措施。安全研究人员预计，补丁公开后 15 分钟内就可能出现基于补丁逆向的自动化攻击。建议各企业运维团队立即盘点公网 PHP 资产，第一时间完成版本升级，并严密监控 Web 服务进程派生异常 Shell 子进程的行为。
[消息等级 Level B · #重要 ]