PHP2Shell（CVE-2026-109618 与 CVE-2026-109619）：检测 PHP 核心中的未认证远程代码执行

PHP 项目于 10 月 21 日发布紧急版本，修复 PHP 核心中两个未认证远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2），攻击者仅凭 HTTP 请求即可在服务器上执行代码。两个 CVE 归集了四个内存安全缺陷，共同根因是 PHP worker 在内存耗尽致命错误后未清理指向请求堆的全局指针，后续请求会用到已释放内存的陈旧指针；受影响代码可追溯到 2012 年的 PHP 5.4，缺陷位于引擎层，应用代码干净也无法避免暴露。报告漏洞的研究者称 AI 模型参与了漏洞发现与利用开发；Amazon 蜜罐在 10 月 17 日已见尝试，Cloudflare 于 10 月 21 日 07:43 UTC 报告早期攻击，比修复发布早六个多小时。