美国网络安全与基础设施安全局（CISA）已将 PHP2Shell 漏洞列入“已知被利用漏洞”目录。这两个编号为 CVE-2026-109618 和 CVE-2026-109619 的漏洞评分均为 CVSS 9.2，攻击者无需登录即可通过特制 HTTP 请求在服务器上执行代码。

PHP 官方已在 10 月 21 日发布紧急补丁，修复版本为 8.2.35、8.3.36、8.4.27 和 8.5.12。值得警惕的是，攻击并没有等补丁：亚马逊的蜜罐在 10 月 17 日就记录到尝试，Cloudflare 报告补丁发布后短短数小时内攻击量就达到数十万次，次日更增至数百万次。

由于漏洞位于 PHP 引擎本身而非某个应用，WordPress、Drupal、Joomla 等站点的底层同样受影响。仍未升级的站点应尽快升到修复版本并重启 PHP 进程；无法立即升级的，应按官方指引采取临时缓解措施，而不是寄希望于“没人注意到自己”。

消息来源

https://securityaffairs.com/201840/security/u-s-cisa-adds-php-flaws-php2shell-to-its-known-exploited-vulnerabilities-catalog.html