脆弱性「PHP2Shell」被确认恶用，米当局发出警告

美国当局确认，编程语言「PHP」中发现的脆弱性「PHP2Shell」正在被实际恶用。美国网络安全基础设施安全局（CISA）在2026年10月26日宣布，将「CVE-2026-109618」和「CVE-2026-109619」注册到「恶用已确认的脆弱性目录（KEV）」中。

这两项脆弱性被称为「PHP2Shell」，可能允许在无需认证的情况下远程执行代码。「CVE-2026-109618」与内存不足时的处理有关，而「CVE-2026-109619」则涉及已释放内存的内部状态管理。在处理外部请求的PHP环境中，这些脆弱性特别具有风险，因此广泛发出了警告。