PHP 开发人员发布了紧急安全更新，以修复两个被称为 PHP2Shell 的严重安全漏洞。这些漏洞允许攻击者在无需预先身份验证的情况下远程执行恶意代码（Remote Code Execution），目前互联网上已记录到试图利用这些漏洞的实际攻击。
漏洞详情及 PHP 引擎中的风险点
这两个漏洞被登记为 CVE-2026-109618（由内存耗尽导致的内存损坏，Out-of-Memory Corruption）和 CVE-2026-109619（涉及过时且不同步的全局状态，Stale Global State），其 CVSS 严重性评分均为 9.2 分。PHP 基金会（PHP Foundation）确认，这两个漏洞存在于引擎内几乎每个请求都会经过的敏感机制中，即内存管理和错误处理，这使得它们的影响范围广泛且修复难度极大。
基金会指出，所有处理 Web 请求的 PHP 服务器都面临风险，包括通过 mod_php 运行的 Apache 服务器、PHP-FPM 环境、php-cgi、FrankenPHP 以及 LiteSpeed。此外，问题还延伸至读取进程的内存空间，这可能会泄露 API 密钥、密码以及缓存的敏感数据。
提前泄露与补丁前的攻击
原定于 10 月 22 日进行协调披露，但由于漏洞详情和概念验证（PoC）代码在互联网上的意外泄露，开发团队被迫提前发布了修复程序。在正式更新发布前的几个小时内，包括 WatchTowr、Patchstack、Cloudflare 和 Hadrian 在内的安全机构监测到了大规模的利用尝试，主要针对 PHP 中的会话上传进度（session upload-progress）路径。
包含修复程序的更新版本包括 8.5.12、8.4.27、8.3.36 和 8.2.35，此外还为 PHP 7.4、8.0 和 8.1 等旧版本提供了有限的源代码回溯补丁，因为该缺陷的根源可追溯至 PHP 5.4 版本。
人工智能模型在发现漏洞中的作用
云安全公司 Wiz 与 OpenAI 及 Calif 实验室合作，于 8 月份发现了这些漏洞。尽管最初与内存耗尽相关的缺陷在 2020 年首次被发现，并于 2024 年被重新发现，但当时因未能证明其可被编程利用而未被列为紧急风险。然而，借助先进的人工智能模型，研究人员得以构建出极其复杂的利用链，将内存缺陷转化为远程命令执行。
为何此进展至关重要及其影响
PHP 语言驱动着全球约 70% 的网站，WordPress、Drupal 和 MediaWiki（维基百科的驱动程序）等知名内容管理平台均依赖于它。这意味着语言核心引擎中的缺陷导致数百万个网站面临被入侵的风险，即使其上安装的应用程序已完全安全且无错误。这要求系统管理员和运维团队必须立即应用更新，并检查服务器日志，以确保其未受到预先入侵。