PHP开发团队发布紧急安全更新，修复了被称为“PHP2Shell”的两个关键漏洞（CVE-2026-109618和CVE-2026-109619）。这些漏洞允许攻击者在无需登录的情况下，远程在Web服务器上执行代码。相关修复已集成至PHP 8.5.12、8.4.27、8.3.36和8.2.35版本，官方强烈建议所有用户立即升级。
高危风险：未认证即可触发
所有处理Web请求的PHP环境均受影响，涵盖PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed。其中，使用mod_php的配置风险最高。演示显示，单个未认证请求即可在任何应用代码运行前触发攻击。
安全研究人员Kevin Beaumont警告称，这是近年来最严重的PHP漏洞之一，预计将引发大量安全事件。英国国家网络安全中心（NCSC）敦促组织立即修补，无法即时修复的系统应考虑下线。
漏洞技术细节
CVE-2026-109618：利用内存不足（OOM）处理机制缺陷实现远程代码执行。当OOM中断PHP运行时，内部请求数据可能仅部分初始化，随后的清理机制可能误将这些无效数据当作有效数据处理。
CVE-2026-109619：利用陈旧的全局状态实现远程代码执行。请求的内部状态在内存释放后仍可能残留，同一工作进程处理的后续请求可能在状态重置前使用这些残留数据。
修复与缓解措施
1. 升级版本：请即刻升级至PHP 8.5.12、8.4.27、8.3.36或8.2.35。Linux发行版及LTS供应商已提前获取补丁，管理员应咨询供应商获取更新包。
2. 旧版本处理：PHP 8.1及更早版本已停止官方支持。针对从源码构建或缺乏LTS支持的用户，PHP安全团队发布了针对7.4、8.0和8.1的最小化源码向后移植补丁。依赖rpms.remirepo.net的用户建议切换至官方源或源码编译，因该志愿者维护源暂未提供更新。
3. 临时防护：Cloudflare已部署针对已知利用向量的WAF规则，对所有客户（含免费用户）开放。计算机取证专家Hal Pomeranz指出，由于大量嵌入式环境和遗留应用难以修补，该漏洞的影响周期或将长期持续。