PHP2Shell利用代码扩散，高校与企业网站遭攻击

Palo Alto Networks 确认攻击者正利用 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619，CVSS 4.0 均为 9.2，可无需登录远程代码执行）攻击暴露到互联网的 PAN-OS 管理接口，Unit 42 于 10 月 29 日独立验证了攻击者工具将 PHP 漏洞与 Linux 内核漏洞结合获取 root 权限。

CISA 警告攻击者正将 Linux 内核提权漏洞 CVE-2026-46300（代号 Fragnesia）与 PHP2Shell（CVE-2026-109618、CVE-2026-109619，CVSS 9.2）串联利用，可让攻击者以 root 权限执行代码，联邦机构已被要求修补。

Node2Shell（CVE-2026-111497）是 Node.js 内置 Brotli 解码器中的越界写漏洞，可导致 RCE；PHP2Shell（CVE-2026-109618 与 CVE-2026-109619）则允许攻击者在 PHP 5 及以上版本服务器上实现远程代码执行。

黑客正利用公开的PHP2Shell漏洞利用代码攻击运行PHP的高校与企业网站，涉及PHP引擎两个CVSS v4.0评分9.2的严重漏洞CVE-2026-109618和CVE-2026-109619，可在未登录情况下远程执行命令。

黑客正利用公开的PHP2Shell漏洞利用代码入侵高校与企业网站，涉及CVE-2026-109618与CVE-2026-109619两个CVSS v4.0评分9.2的漏洞，外部攻击者无需登录即可在服务器上执行任意命令。

CISA 将 CVE-2026-109618（PHP 内存损坏漏洞）和 CVE-2026-109619（PHP 内部请求状态过期漏洞）加入已知被利用漏洞（KEV）目录。

研究员利用两个严重PHP2Shell漏洞在19.28小时内攻破测试服务器，赢得比特币挑战赛并获两千美元奖金，漏洞CVSS评分9.2，官方已发补丁。HTTP2Shell漏洞影响超出HTTP范畴，波及.NET、FFmpeg、ClickHouse及Apache Arrow Brotli解码器，可致崩溃、内存损坏或死循环，须核查厂商补丁并排查解压链路。

PHP 安全团队在 10 月 23 日的公告中警告了一个新的远程代码执行漏洞 CVE-2026-115560，但表示该漏洞需要不寻常的配置与应用代码组合才能触发，将在下个版本中修复而非立即打补丁。

php2shell 针对 CVE-2026-109618 与 CVE-2026-109619 两个 PHP 漏洞，给出在各类 PHP 部署环境下的修复方案。原文仅提供标题层面信息，未披露漏洞细节、受影响版本、CVSS 评分或具体补丁步骤，需查阅原文获取完整修复指引。

安全研究者 killa 利用两个 PHP 漏洞在 19.28 小时内攻破 stealmybitcoin.com 的远程代码执行测试，赢得 0.02511679 BTC（当时价值 $2,021.22），并在 GitHub 公开 PoC。

网名为killa的安全研究员利用两个PHP严重漏洞CVE-2026-109618、CVE-2026-109619（统称PHP2Shell漏洞组，CVSS v4.0均为9.2）攻破stealmybitcoin.com测试服务器，耗时19.28小时赢下比特币挑战赛，奖金达0.02511679 BTC（约2021.22美元），随后在GitHub发布PoC。

PHP 中被称作 PHP2Shell 的两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619 被公开并发布补丁，允许攻击者无需密码即可远程入侵运行 PHP 的服务器，全球大量银行、零售商、医院和政府机构下线网站进行修复。

PHP 被曝 php2shell 双核 RCE 漏洞（CVE-2026-109618 / CVE-2026-109619），攻击者仅凭一个未授权 POST 请求即可获取 Shell。原文为导语部分，未披露受影响版本、CVSS 评分、CWE 编号及修复方案等细节，具体技术分析待后续内容补充。

php2shell 是一个针对 PHP 底层的远程代码执行（RCE）漏洞，文章对其进行了全面解析并引发相关安全思考。原文未提供该漏洞的 CVE 编号、CVSS 评分、受影响 PHP 版本范围、利用条件或修复方案等具体技术细节，仅给出标题层面的漏洞定性与解析主题。

通告披露 PHP 远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，并新增产线解决方案。发布方称致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

Palo Alto Networks 确认两个 PHP 远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619 影响 PAN-OS 及此前受影响的两项云服务，公司于 10 月 24 日更新安全通告，称尚未发现针对其产品的恶意利用，但 Unit 42 已观测到针对更广泛 PHP 漏洞（称为 PHP2Shell）的概念验证利用。

PHP 官方紧急发布补丁，修复两个被安全社区统称为 PHP2Shell 的高危远程代码执行漏洞，编号为 CVE-2026-109618 与 CVE-2026-109619。这两个漏洞引发全球网站运营者的紧急响应。

PHP 官方已修复 PHP2Shell 两枚未认证远程代码执行（RCE）漏洞，CVSS 评分均为 9.2。文章梳理了漏洞影响范围、真实利用态势，并给出一小时内可执行的排查处置清单。

2026年10月21日，国家信息安全漏洞共享平台（CNVD）收录了PHP远程代码执行漏洞 CNVD-2026-41674、CNVD-2026-41675，对应 CVE-2026-109618、CVE-2026-109619。

PHP 解释器内核（Core）被发现两个远程代码执行漏洞，合称 PHP2Shell，编号 CVE-2026-109618 与 CVE-2026-109619，可由未认证攻击者触发，已复现 RCE。漏洞成因为 PHP 核心内存破坏，攻击无需认证即可远程执行任意代码。

长亭披露 PHP Core 远程代码执行漏洞 php2shell（CVE-2026-109618/109619），已复现 RCE。检测业务是否受影响需联系长亭应急服务团队。

PHP2Shell 是一组 PHP 引擎级双重 Use-After-Free（UAF）漏洞，影响版本从 5.4 一直延续到 8.5，潜伏时间跨度极大。漏洞位于 PHP 引擎内部，可被用于远程代码执行（RCE）。文章以 #PHP2SHELL01 为编号展开漏洞分析，涉及 CVE 相关安全研究。

PHP2Shell（CVE-2026-109618/109619）影响 PHP 5.4 到 8.5.11，CVSS 9.2，补丁公开前六小时已有攻击。该漏洞源于十年前的内存债，仅升级 CMS 无法规避，需等待 PHP 官方补丁。

PHP 引擎于 21 日被发现存在两个极为严重的 RCE 漏洞，攻击者可执行未经身份验证的远程代码。由于漏洞发生在 PHP 核心层，无法通过调整网站插件的方式修复，必须立即升级 PHP 版本。

PHP 官方发布紧急安全更新，修复两个无需身份认证即可远程触发任意代码执行的高危漏洞 CVE-2026-109618 与 CVE-2026-109619（代号 php2shell），攻击者仅需构造恶意 HTTP 请求即可利用。更新覆盖 8.2.35、8.3.36、8.4.27 与 8.5.12 四个版本分支。

文章讲解 php2shell 漏洞及 CVE-2026-109618、CVE-2026-109619 的原理与复现，指出 php2shell 本质是 PHP「显示上传进度」功能在上传时将用户填写的文件名等信息写入临时文件，可被利用写入 webshell。

国家信息安全漏洞共享平台（CNVD）于 2026 年 10 月 21 日收录了 PHP 远程代码执行漏洞（CNVD-2026-XXXXX）。原文仅给出漏洞收录时间与编号，未披露 CVE 编号、CVSS 评分、受影响版本范围及修复建议等细节，建议关注 CNVD 后续完整公告并及时升级 PHP 版本。

10月21日爆出多项紧急安全事件：PHP 紧急发布修复 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2，可致未认证远程代码执行），Node.js 更新 26.12.1 / 24.22.1 / 22.23.4 修复十个漏洞（含四个高危），Apache Tomcat 亦发布 11.0.27 等三个修复版本。

CNVD 于 2026 年 10 月 21 日收录两个 PHP 远程代码执行漏洞，编号 CNVD-2026-41674、CNVD-2026-41675，对应 CVE-2026-109618、CVE-2026-109619。原文未披露漏洞细节、CVSS 评分或修复版本，建议关注 CNVD 后续通告。

针对 PHP 远程代码执行漏洞 CVE-2026-109618、CVE-2026-109619 发布预警，帮助受影响用户快速识别风险并采取防护措施。原文未披露漏洞细节、受影响版本、CVSS 评分或修复版本等信息。

PHP 内核曝出高危远程代码执行漏洞 CVE-2026-109618、CVE-2026-109619（PHP2Shell），属于 Stale Global State 类型，源于 session.upload_progress 生命周期缺陷：multipart/form-data 请求在解析阶段因内存限制（OOM）触发 longjmp() 提前退出，漏洞在野利用已复现。

PHP 官方于 10 月 21 日发布紧急安全更新，修复两个可导致未授权远程代码执行的高危漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，代号 PHP2Shell。

CVE-2026-109618和CVE-2026-109619（绰号PHP2Shell）两个CVSS 9.2分的PHP远程代码执行漏洞公开后，欧洲多国政府网站、pixiv、Niconico等平台紧急下线维护，PHP官方于10月21日发布8.5.12等四个分支的紧急更新。

潜伏十余年的PHP高危漏洞信息于当地时间20日提前外泄，PHP安全团队于21日发布8.5.12、8.4.27、8.3.36和8.2.35四个修复版本。该漏洞今年8月由Calif借助OpenAI GPT-5.6 Sol、Wiz借助Wiz Atlas与Gemini 4 Argon等模型独立发现，各方保密修复近两个月。

代号PHP2Shell的两个PHP高危远程执行漏洞信息意外泄露，编号为CVE-2026-109618和CVE-2026-109619，PHP基金会给出的严重程度评分为9.2分，并提前发布紧急补丁。

10月20日夜间，Hacker News 曝出两个 PHP 远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，watchTowr 随后确认，PHP 官方将原定 10 月 22 日的安全更新提前到 21 日晚 10 点。

PHP 被披露两个高危漏洞 CVE-2026-109618 与 CVE-2026-109619，未登录攻击者可直接获取服务器权限，官方已于 10 月 21 日发布紧急更新。

Amazon Threat Intelligence 在 MadPot 遥测中发现，PHP2Shell 漏洞利用尝试最早可追溯至 2026 年 10 月 17 日，比 CVE-2026-109618 和 CVE-2026-109619 公开披露早四天，来源为商业匿名化网络 IP。

PHP 曝出两个代码执行漏洞，编号为 CVE-2026-109618 与 CVE-2026-109619，相关 POC 已公开。

PHP 内核两个潜伏约 14 年的内存安全漏洞（CVE-2026-109618 / CVE-2026-109619，统称 PHP2Shell）在协调披露前被泄露，影响 PHP 5.4.0 至 8.5.11，官方评 CVSS v4.0 9.2，修复版本 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 于 10 月 21 日发布。

2026年10月21日，国家信息安全漏洞共享平台（CNVD）收录PHP远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619），综合评级为高危。

OpenAI 博客披露其内部安全团队 Calif 使用 GPT-5.6 Sol 对 PHP 代码库进行审计，发现两个允许未经认证远程代码执行的严重漏洞，被统称为 PHP2Shell，CVSS v4.0 评分 9.2，watchTowr 评为 10.0 满分。

PHP 核心被披露 CVSS 9.2 的未认证 RCE 漏洞 php2shell（CVE-2026-109618/109619），影响近十年所有 PHP 版本，紧急补丁已发布。Cloudflare 已观测到该漏洞在野利用，需立即修复。

PHP Foundation 为 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS 9.2 漏洞发布紧急补丁，二者均可导致未认证远程代码执行，影响 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed，其中 mod_php 风险最高。

针对 PHP Web 运行时漏洞 CVE-2026-109619，有人发布了一条名为 PHP2Shell 的 WAF 自定义规则，通过匹配 POST 方法、PHPSESSID cookie 或请求体以及 PHP_SESSION_UPLOAD_PROGRESS 字段来拦截利用请求。该规则优先级为 0，命中后执行 Block 动作，并启用采样请求与 CloudWatch 指标。

PHP 核心被披露两个严重漏洞 CVE-2026-109618（远程代码执行）与 CVE-2026-109619（释放后使用），CVSS 9.4，PHP 5 起所有版本均受影响，仅 8.5.12、8.4.27、8.3.36、8.2.35 为安全版本。

PHP 8.x 全系发布安全更新，修复两个远程代码执行漏洞，但 CVE 编号在协调披露过程中提前泄露，实际 CVSS 9.2 被误传为 10.0。PHP 项目因此将原定 10 月 22 日的发布提前至 10 月 21 日，泄露后已有 PoC 在社交平台扩散。Wiz Research 于 8 月 19 日发现首个漏洞，8 月 24 日向 PHP 安全团队报告。

在本地 Docker 靶场中复现了 PHP 会话反序列化 RCE 漏洞 CVE-2026-109618，完整走通了从靶场搭建到命令执行的全过程。文章以实操记录形式给出该漏洞的复现路径与利用链细节。

阿里云安全监测到 PHP 官方披露两个远程代码执行漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，代号 php2shell。漏洞于 2026 年 10 月 21 日披露。

阿里云安全监测到 PHP 官方披露两个远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，代号 php2shell。漏洞通告于 2026 年 10 月 21 日发布。

PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个在特定条件下可让未认证攻击者执行代码的严重漏洞，其中 CVE-2026-109618 为内存耗尽（OOM）导致的内存破坏，CVE-2026-109619 为过期全局状态引发的释放后重用。

PHP 为两个可致未认证远程代码执行的关键漏洞发布紧急更新，漏洞编号 CVE-2026-109618 与 CVE-2026-109619，合称 PHP2Shell，CVSS 4.0 评分均为 9.2。

PHP 安全团队成员澄清 PHP2Shell 漏洞传闻：CVE-2026-109618 实际 CVSS 为 9.2 而非流传的 10.0，影响范围仅 8.2 至 8.5 已修复版本，而非传闻中的 PHP 5.4 起。

Wiz Research 在 PHP 核心引擎中发现多个内存安全漏洞，归为 CVE-2026-109618 和 CVE-2026-109619 两个 CVE，严重度达 CVSS 9.2，PHP 于 2026年10月21日发布补丁。

CISA 强烈敦促组织立即修补 PHP 中新披露的两个关键漏洞 CVE-2026-109618 和 CVE-2026-109619（代号 "php2shell"），二者可在无需认证的情况下实现远程代码执行，影响所有处理 Web 请求的 PHP 安装。

天融信阿尔法实验室监测到 PHP 官方发布紧急安全预告，PHP 核心存在两个严重远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619（社区称 PHP2Shell），PHP 安全团队对两者的 CVSS v4.0 评分均为 9.2。天融信建议相关用户清查资产，并在补丁发布后第一时间升级。

两个可导致远程代码执行（RCE）和服务器接管的 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619（合称“PHP2Shell”）在补丁发布前被提前泄露，PHP 安全团队给出的严重性评分为 CVSS 9.2，低于泄露者所称的 10.0。

绿盟科技CERT监测到网上披露PHP远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，目前已有漏洞细节披露。该通告建议相关用户尽快采取措施开展自查与防护。

深瞳漏洞实验室于 2026 年 10 月 21 日监测到 PHP 组件存在两个代码执行漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，威胁等级为严重。这两个漏洞均属远程代码执行类型，可导致受影响 PHP 组件被攻击者执行任意代码。

PHP预警两个CVSS 9.2级严重漏洞，疑为无需认证的远程代码执行，补丁于10月21日发布并同步细节。日经系统开发云服务遭窃取凭证入侵，约183万条记录泄露，不含信用卡信息，已封禁凭证并通知用户。微软发布全新安全框架，将AI Agent视为内部威胁，主张放弃前置信任，以动态权限和持续风险评分实时管控。

PHP 于 10 月 21 日 UTC 14 点发布 PHP2Shell 两个高危 RCE 漏洞补丁，危险评分 9.2（满分 10 分），官方未提供任何临时解决方案。

PHP 预告两项 9.2 分严重漏洞的安全更新，计划北京时间 10 月 21 日 22 时发布。准确影响范围和修复版本尚待公布，建议先清点运行时、确定责任人并准备升级窗口。

PHP 项目组发布紧急安全更新，修复统称 PHP2Shell 的两个高危漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS 4.0 评分均为 9.2，未授权攻击者可在受影响 Web 服务器上执行任意代码。

PHP 预告两项 9.2 分严重漏洞的安全更新，计划北京时间 10 月 21 日 22 时发布。准确影响范围和修复版本尚待公布，建议先清点运行时、确定责任人并准备升级窗口。

PHP 开发团队发布紧急更新，修复可未授权远程执行代码的 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619，补丁已集成至 PHP 8.5.12、8.4.27、8.3.36、8.2.35。

Cloudflare 监测到针对两个 PHP 严重漏洞的早期利用尝试，并已部署首批 WAF 规则拦截已知利用特征，所有客户（含免费套餐）均可使用。两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，均为远程代码执行漏洞，CVSS v4.0 评分 9.2，补丁计划于 10 月 21 日 14:00 UTC 发布。

PHP 安全团队警告两个 CVSS v4.0 评分均为 9.2 的严重漏洞，补丁定于 2026 年 10 月 21 日 14:00 UTC 发布。公开报道将修复对应到 CVE-2026-109618 与 CVE-2026-109619，watchTowr 称其为远程代码执行漏洞，CERT-EU 亦警告可能存在未认证远程代码执行，但 PHP 预告未点名 CVE 或说明成因。

CERT-EU 就 PHP 两个远程代码执行漏洞 CVE-2026-109618、CVE-2026-109619 发布警报，CVSS 4.0 评分 9.2，评级高危，影响量级千万级。

PHP 基金会宣布将于 21 日 14:00 UTC 发布安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS 9.2 的严重漏洞，可能允许未认证远程代码执行，影响 PHP 5 及之后所有版本。目前尚无技术细节公开，CERT-EU 建议立即识别 PHP 应用并准备打补丁，无法及时修复时应将面向互联网的应用与公共网络隔离。

PHP 安全团队预警两个 CVSS v4.0 评分均为 9.2 的严重漏洞，补丁定于 2026 年 10 月 21 日周三 UTC 时间 14:00 发布，同步公开技术细节与受影响版本范围。

PHP 核心被披露两个严重漏洞 CVE-2026-109618（CVSS 9.4，远程代码执行）与 CVE-2026-109619（释放后重用），影响 PHP 5 起所有版本，仅今日发布的 8.5.12、8.4.27、8.3.36、8.2.35 为安全版本。