N環球 
「PHP2Shell」：PHP 紧急修补两个 CVSS 9.2 危急漏洞，无须登入即可远端执行代码
PHP 官方 10 月 21 日发布紧急更新，修补两个被统称为 PHP2Shell 的危急漏洞（CVE-2026-109618、CVE-2026-109619）；漏洞由 Wiz、Calif、OpenAI 等研究者发现，细节提前外泄后 Cloudflare 已观测到真实攻击流量。所有提供网页服务的 PHP 环境均受影响，官方敦促立即更新。
为何重要
这是近年最严重的网站漏洞之一。PHP 驱动著全球相当比例的网站（WordPress、Drupal、Joomla 等），而这次的漏洞出在语言引擎本身——网站代码写得再安全也挡不住。攻击者无须帐号，一个请求就可能拿到伺服器的执行权限。
更值得注意的是，Wiz 研究者指出，这些漏洞藏了几十年，证明可利用的复杂攻击链已达「人类研究者勉强能做到」的极限；前沿 AI 模型大幅降低了门槛，把长期存在的缺陷变成了真实可用的攻击——这也是 AI 辅助安全研究正反两面的最新例证。
全文
PHP 安全团队 10 月 21 日发布紧急更新，修补 CVE-2026-109618 与 CVE-2026-109619，CVSS v4.0 评分均为 9.2，研究界统称为 PHP2Shell。两个漏洞都源于请求异常结束时 PHP 内存状态损坏，可让未经身份验证的攻击者实现远端代码执行。
受影响范围涵盖所有提供网页服务的 PHP 安装：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。安全团队表示 mod_php 风险最高，已有实证的攻击链能在应用代码运行之前就触发攻击。其中一个漏洞甚至能让攻击者读取工作进程内存中其他请求的密码、令牌与 API 密钥。
漏洞由 Wiz、Calif、OpenAI（其 Patch the Planet 计划合作伙伴）与 Quarkslab 的研究者发现。原定协调披露前，技术细节于 10 月 20 日提前外泄，PHP 团队遂提前一天发布补丁。Cloudflare 表示在补丁发布前就已观测到针对其客户的攻击流量，并于 10 月 21 日凌晨启动了 WAF 防护规则。荷兰、日本多家网站（如荷兰 DigiD、众议院官网）在补丁发布前曾预防性下线。
官方敦促所有用户立即更新到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35；PHP 7 以前版本已停止官方支持，需联系 LTS 厂商或升级。
💬 留言
暂时还没有留言，来抢沙发！