导读
这两个漏洞编号为CVE-2026-109618和CVE-2026-109619，被统称为“php2shell”，严重程度评分（CVSS）高达9.2（满分10分）。
据CISA介绍，这两个漏洞可让未经身份验证的攻击者远程执行代码，影响所有对外提供Web请求服务的PHP安装。无论是企业官网、论坛、电商网站还是内容管理系统，只要使用PHP处理网页请求，都在此次影响范围之内。
CISA表示，截至警报发布时，尚未观察到这两个漏洞被实际利用的案例；但如果放任不打补丁，相关机构将面临严重风险。PHP官方已经发布修复版本，各分支用户应立即升级：PHP 8.2升级至8.2.35，PHP 8.3升级至8.3.36，PHP 8.4升级至8.4.27，PHP 8.5升级至8.5.12。
需要特别注意的是，PHP 8.1及更早版本已经结束生命周期，不会获得修复版本。仍在运行这些版本的网站，必须升级到受支持的PHP分支，否则漏洞将长期敞口。
网络安全业内人士提醒，PHP是全球使用最广泛的服务器端编程语言之一，支撑着大量网站和内容管理系统。此次漏洞无需登录即可触发，风险等级属于最高一档，网站运维人员应把这次更新列为最优先事项，升级后还应检查服务器日志，确认没有异常访问记录。
来源：CISA（美国网络安全和基础设施安全局）
