---
title: 脆弱性「PHP2Shell」被确认恶用，米当局发出警告
url: https://www.dataloco.com/zh/php2shell-2
published: 2026-10-30T01:21:07+00:00
language: zh
section: 安全
source: https://www.security-next.com/191976
organizations: CISA, PHP
publisher: Dataloco
---

# 脆弱性「PHP2Shell」被确认恶用，米当局发出警告

美国当局确认，编程语言「PHP」中发现的脆弱性「PHP2Shell」正在被实际恶用。美国网络安全基础设施安全局（CISA）在2026年10月26日宣布，将「CVE-2026-109618」和「CVE-2026-109619」注册到「恶用已确认的脆弱性目录（KEV）」中。

这两项脆弱性被称为「PHP2Shell」，可能允许在无需认证的情况下远程执行代码。「CVE-2026-109618」与内存不足时的处理有关，而「CVE-2026-109619」则涉及已释放内存的内部状态管理。在处理外部请求的PHP环境中，这些脆弱性特别具有风险，因此广泛发出了警告。

PHP开发团队于同月21日发布了「PHP 8.5.12」、「同8.4.27」、「同8.3.36」和「同8.2.35」，以修复这些脆弱性。同时，为已停止支持的「PHP 7.4」、「同8.0」和「同8.1」提供了源代码修复，部分Linux发行版也进行了回溯修复。

CISA要求美国行政机构在三天后的10月29日之前对此脆弱性进行响应，不仅要解决脆弱性，还需确认是否存在被侵害的情况。

## This story in other languages

- [Türkçe](https://www.dataloco.com/tr/php2shell-zayifliginin-kotuye-kullanildigi-bildirildi-abd-makamlari-uyarida-bulundu)
- [English](https://www.dataloco.com/en/us-authorities-warn-of-php2shell-vulnerability-exploitation)
- [Português (Brasil)](https://www.dataloco.com/pt-br/autoridades-dos-estados-unidos-alertam-sobre-exploracao-da-vulnerabilidade-php2shell)