编程语言 PHP 中两处关键安全漏洞的细节在网上遭到泄露，恰逢它们准备在协调披露时间表内发布，且官方更新尚未完全向用户提供。这两处漏洞分别被编号为 CVE-2026-109618 和 CVE-2026-109619，根据欧洲网络安全局 (CERT-EU) 的警告，它们的 CVSS 评分均高达 9.2 分，属于极其严重的级别，这使得它们在无需身份验证的情况下也容易受到潜在利用。
技术报告将这些漏洞称为 PHP2Shell，并指出攻击者有可能利用它们在受感染的服务器上获得命令执行权限（Shell）。初步评估表明，从 PHP 5 开始的所有 PHP 版本都可能受到这些软件漏洞的影响。
应急准备与安全公司的确认
泄露事件发生后，PHP 迅速发出警告，敦促所有用户准备在更新可用时立即应用，如果出现漏洞在实际环境中被利用的证据，则有可能提前发布修复程序。另一方面，暴露管理公司 WatchTowr 确认其成功重现了 CVE-2026-109618 漏洞，出于安全原因，其仅确认了该缺陷的存在性，而未发布精确的技术细节。
尽管 WatchTowr 和 Huntress 公司最初并未监测到立即的活跃攻击，但网络安全公司 Sansec 警告称，全面利用尝试可能会在补丁发布后的几分钟内开始。随后，PHP 发布了必要的更新，与此同时，网络安全公司监测到了实际的利用尝试，其中一些甚至在修复程序到达目标服务器之前就被记录了下来。
为什么这条消息很重要？
这一进展构成了巨大的风险，因为 PHP 是全球绝大多数网站和服务器的运行支柱。不需要身份验证的远程代码执行 (RCE) 漏洞使黑客能够完全控制受感染的基础设施。该事件还凸显了当技术细节在补丁可用之前公开泄露时，漏洞管理所面临的持续挑战，这给安全团队施加了巨大的压力，要求他们以创纪录的速度应用更新，以避免大规模的自动化攻击。