据TechCrunch报道，PHP维护机构PHP Foundation周三公开修复两个高危漏洞，编号分别为CVE-2026-109618和CVE-2026-109619，统称PHP2Shell。漏洞可让攻击者无需密码远程入侵运行PHP的网站或联网服务器，并访问或修改数据。

报道称，这两个漏洞最早在2024年被发现，当时未被视为可利用，也没有修补。Calif的安全研究人员近期找到了利用方式，随后通知PHP Foundation。该基金会随后进入修复和协调披露阶段，在严格保密期限下向部分大型互联网公司和网络托管商提前提供漏洞信息与补丁，使其有机会先行安装修复程序。

PHP2Shell风险较高，原因在于可经互联网远程利用，受害者无需点击链接或打开文件。这类远程代码执行漏洞可使攻击者获得对未修补系统的实际控制权。报道指出，这些PHP漏洞还允许攻击者未经认证、无需密码或其他凭证进入联网系统，进而植入恶意软件、窃取数据或建立长期据点。

周三补丁发布后，多国政府开始敦促公民和拥有网站的企业采取措施降低风险。银行、零售商、游戏网站、在线商店、医院以及部分政府机构下线服务器，暂停服务以安装补丁。由于行业内部已进行数周沟通和协调，全球迄今大体避免了大规模互联网利用。

不过，安全研究人员警告，事态尚未结束，全球仍有大量系统未安装补丁，容易遭到黑客攻击和数据窃取。报道称，PHP是互联网上使用最广泛的编程语言之一，约70%的面向互联网的网站依赖PHP。WordPress、Drupal、Joomla以及为维基百科提供支持的MediaWiki等均使用依赖PHP的软件。

报道还提到，PHP这类老旧但仍在运行的技术由开源维护者开发，部分维护者没有报酬，也负担不起第三方安全审查，但许多公司仍广泛依赖这些项目，却未提供资金支持。一些研究人员预计，人工智能将快速发现尚未被发现的漏洞，PHP2Shell可能不会是最后一次重大互联网软件安全事件。