PHP2Shell：自 2004 年存在的两个 PHP 超危漏洞，官方紧急发布补丁

10 月 21 日，芬兰、荷兰、法国等多国政府和机构网站因 PHP 的两个漏洞 PHP2Shell 主动预防性下线，漏洞严重程度评分 9.2，影响可追溯至十多年前的 PHP 5.4。

工信部NVDB监测发现 PHP 存在两个远程代码执行超危漏洞，未经身份验证的攻击者可远程执行任意代码，导致服务器受控、敏感信息泄露、业务中断。

工信部NVDB监测发现PHP存在两个远程代码执行超危漏洞，PHP安全团队已修复并发布安全公告，建议用户排查并升级至最新安全版本，或采取临时下线、关闭会话上传进度功能、网络隔离等临时防护。韩国科技信息通信部已将网络危机预警级别上调至第二低级别的“警戒”，并要求企业和政府机构进行系统更新。

工信部网络安全威胁和漏洞信息共享平台（NVDB）监测发现PHP存在两个远程代码执行超危漏洞，未经身份验证的攻击者可远程执行任意代码，导致服务器受控、敏感信息泄露、业务中断。

国家信息安全漏洞共享平台（CNVD）就 PHP2Shell 漏洞发布修复风险提示。

PHP 曝出两个危险评分达 9.2 的超高危漏洞，统称 PHP2Shell，最严重时可让攻击者无需登录即执行远程代码，影响从 PHP 5.4 起的几乎所有版本。

OpenAI 的 Patch the Planet 计划与 Google 旗下 Wiz 团队分别用 AI 在 PHP 中发现两个严重漏洞，这些漏洞自 2004 年的 PHP 5 起就存在，NSA 已发出警告，PHP Foundation 已发布补丁。

PHP 爆出两个超危漏洞，黑客无需登录即可远程控制服务器，全球约 7 成网站运行在 PHP 上。Cloudflare 已紧急上线防护，日本方面呼吁尽快打补丁，国内相关部门也在提醒；建议将 PHP 升级到 8.2.35 以上，无法升级则先临时关站或停服避险。

PHP 官方 10 月 21 日紧急发布 8.5.12、8.4.27、8.3.36、8.2.35，修补两个免登录即可在服务器执行任意代码的严重漏洞（CVE-2026-109618、CVE-2026-109619，研究者称 PHP2Shell）。

腾讯云发布PHP "php2shell" 远程代码执行漏洞风险通告，漏洞编号为CVE-2026-109618和CVE-2026-109619。未经身份验证的远程攻击者可通过特制 multipart POST 请求触发内存破坏并实现远程代码执行，从而完全控制服务器，腾讯云建议及时自查并在受影响范围内更新修复。

PHP Foundation 于周三发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS 9.2 分的严重漏洞，可让攻击者未认证执行代码或读取进程内存，影响自 2004 年 PHP 5 起的所有处理 Web 请求的安装，仅 PHP 8.2 及以上获官方补丁。

芬兰国家 IT 中心 Valtori 周三起预防性下线公共部门网站，应对两个编号为 CVE-2026-109618 和 CVE-2026-109619、CVSS 4.0 评分 9.2 的 PHP 未认证远程代码执行漏洞，漏洞被称作 PHP2Shell，荷兰也采取了类似措施。

PHP 开发者正准备为两个严重程度均达 9.2/10 的漏洞发布紧急补丁，漏洞可让攻击者在无需认证的情况下远程执行恶意代码，威胁运行 PHP 的网站服务器。Cloudflare（$NET）报告已观测到早期攻击并部署临时防护；欧盟网络安全官员敦促立即打补丁，无法修复的站点建议下线。

PHP 计划于今日上午 10AM ET 发布安全补丁，修复两个严重等级 9.2/10 的远程代码执行漏洞。