安全 · 2026年10月25日
PHP出现严重的RCE漏洞PHP2Shell，攻击尝试已被观察到
在广泛使用的编程语言PHP中，发现了一种严重的漏洞，允许在无需认证的情况下远程执行代码，已经观察到攻击者尝试利用该漏洞。相关的证明代码已经被公开，提醒用户保持警惕。
PHP开发团队于协调世界时2026年10月21日发布了更新，以修复两个漏洞，分别为CVE-2026-109618和CVE-2026-109619。这些漏洞也被称为PHP2Shell，引发了对影响范围扩大的担忧。
开发团队在10月21日发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35版本，以修复这些漏洞。虽然根本性的解决方案仅限于更新，但也提供了降低影响的缓解措施。
无论应用程序的类型如何，都可能受到该漏洞的影响，若被利用，可能导致信息被窃取或任意代码被执行。
Wiz公司表示，在使用WordPress、Drupal和Joomla环境中，已证明能够在无需认证的情况下执行代码，并指出包括不再支持的版本在内，PHP 5.4及以后版本均受到影响。