PHP 核心 RCE 被实际利用：php2shell 漏洞的紧急修复清单

本月初最紧急的安全事项，是代号 php2shell 的两个 PHP 核心远程代码执行漏洞：CVE-2026-109618 与 CVE-2026-109619，CVSS v4 评分 9.2，已被列入 CISA 已知被利用漏洞目录。它们存在于 PHP 请求生命周期的内存管理里，未经身份验证的远程攻击者可通过特制 HTTP 请求触发内存破坏，最终实现 RCE，影响 PHP-FPM、CGI、FastCGI、Apache mod_php、FrankenPHP、LiteSpeed 等部署，其中 mod_php 风险最高。

受影响版本与修复 官方 10 月 21 日已发布修复，影响 PHP 8.5.x 低于 8.5.12、8.4.x 低于 8.4.27、8.3.x 低于 8.3.36、8.2.x 低于 8.2.35 以及 8.1 及更早版本。WordPress、TYPO3 等只要底层 PHP 运行时存在漏洞便间接受影响。

动作项 面向公网的 PHP 应用，立即升级到修复版本并重启 PHP worker；用 WAF 或临时规则挡住异常 multipart 与大内存请求作为过渡。把 PHP 版本纳入可审计的资产清单，别等 CVE 上热搜才动。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

php2shell 这种核心 RCE 必须立刻打补丁，公网 PHP 站点现在就是活靶子。临时先关掉危险函数，等官方包到位再彻底修，别拖。