PHP核心曝出高危远程代码执行漏洞
发生了什么
PHP核心被披露存在两个CVSS评分均为9.2的远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619，统称“PHP2Shell”）。该漏洞允许未经身份验证的攻击者通过构造Web请求在服务器上执行代码，影响包括PHP-FPM、mod_php等在内的多种服务器配置。官方已发布修复版本8.5.12、8.4.27、8.3.36及8.2.35，并为7.4、8.0和8.1版本提供源代码补丁。据报道，已有针对该漏洞的探测及早期攻击行为。
报道与来源
1 篇发布方数量不等于独立核验数量。同稿的多个入口保留在对应报道中。
- The Register来源报道
PHP2Shell: No login, no app code, no warning. What next?
来源关系与证据边界
按已记录的来源角色展示；连线仅表示原生身份流程确认的同稿入口，不表示独立佐证或跨报道引用。
- 来源报道1 个发布入口