美国网络安全和基础设施安全局 (CISA) 已将 PHP 编程语言中的两个关键安全漏洞（统称为 PHP2Shell 漏洞）列入实际攻击中被利用的安全漏洞目录。
漏洞详情与活跃攻击
这两个漏洞（编号为 (CVE-2026-109618) 和 (CVE-2026-109619)）允许没有预先权限的攻击者对未获取必要安全更新的系统执行高度复杂的远程代码执行 (RCE) 攻击。PHP 安全团队已在 10 月发布了必要的软件更新以修复这两个漏洞，此前在公开宣布之前，多家安全公司已监测到大规模的利用尝试。
尽管在发布官方补丁之前，漏洞详情已泄露且部分概念验证 (PoC) 代码已在互联网上发布，但 PHP 安全团队确认，这些尝试在初期并不奏效。然而，包括亚马逊 (Amazon) 和 Cloudflare 在内的多家安全公司记录了在官方更新发布前几天就针对这些漏洞的利用尝试。
给政府机构的紧急指令
鉴于这些进展，CISA 已将这些漏洞添加到已知被利用漏洞 (KEV) 目录中，并根据具有约束力的操作指令 (BOD 26-04)，要求联邦民用执行机构 (FCEB) 加固其系统并应用必要的补丁。该机构警告称，此类漏洞构成了一种常见的攻击路径，直接威胁到联邦基础设施和机构。
这一进展在实际中意味着什么？
由于 PHP 语言的广泛普及，这些更新显得至关重要。VirusTotal 平台估计，PHP 运行着全球约 70% 的网站，有数百万个主机面临风险。美国机构的这一行动以及事件响应团队的快速反应，反映了技术机构必须采用基于风险的漏洞管理计划，以便立即应对在数字荒野中被确认正在被利用的任何关键漏洞。