PHP 紧急发布补丁修复两个 PHP2Shell 严重远程代码执行漏洞，已出现利用尝试
PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge
AI 导读
PHP 发布紧急更新，修复两个可让未认证攻击者在 Web 服务器上执行代码的严重漏洞，合称 PHP2Shell，CVSS v4.0 评分 9.2。两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，影响可回溯到 PHP 5.4 的几乎全部版本。缺陷位于 PHP 运行时本身，使用 Apache mod_php 的服务器风险最高，单个未认证请求即可在应用代码运行前触发攻击。漏洞由 Wiz、Calif 和 OpenAI Codex Security 团队发现，研究者称 AI 模型帮助把这些存在十多年的缺陷变成可用漏洞利用，一名研究者约一周完成了原本估计需要团队数月的工作。
阅读原文