PHP漏洞触发全球紧急维护

发生了什么

虎嗅称，两个漏洞编号为CVE-2026-109618和CVE-2026-109619，被社区称作PHP2Shell，可使攻击者远程获取服务器命令行控制权。10月21日，PHP官方发布8.5.12、8.4.27、8.3.36和8.2.35更新，并确认两漏洞CVSS评分均为9.2分，无需账号密码即可远程利用。OpenAI称其Calif研究人员使用GPT-5.6 Sol找到关键缺陷，多个团队合作完成验证与应对；文章也提出“模型挖出漏洞还是贴AI标签”的疑问。Cloudflare称WAF防护规则对包括免费版在内的全部客户默认生效。