据ZDNet报道，PHP项目本周三发布补丁，修复被合称为PHP2Shell的两个高危漏洞CVE-2026-109618和CVE-2026-109619。报道称，这两个漏洞的严重性评分均为9.2，影响大多数PHP构建，全球网站管理员正紧急升级。
PHP是许多网站和服务的基础，从WordPress站点到电商平台均依赖它。发现这些漏洞的Wiz安全团队称，PHP出现在全球70%的网站上。Wiz表示，漏洞包括内存泄露和PHP自身的未认证远程代码执行，不依赖运行在PHP之上的应用，使每个受影响网站都面临直接风险。攻击者若针对未修补系统利用这些漏洞，可在受影响服务器上执行代码或读取敏感进程内存，进而窃取数据、渗透企业网络。
补丁发布后，利用活动很快出现。据Amazon Threat Intelligence，针对PHP2Shell的利用尝试在漏洞公开前四天就已发生，概念验证在数小时后开始出现。一个与PHP2Shell攻击链有关的威胁行为者正试图部署Mirai式僵尸网络，Cloudflare首席执行官Matthew Prince称，Cloudflare网络正记录到“数百万”次利用尝试。
PHP项目在10月23日发布的公告中要求组织采取进一步措施：在下一轮计划修复前，将session.upload_progress.enabled设为0。公告称，这一缓解措施已在10月21日的版本中列出，但随着对PHP2Shell的调查深入，应用该措施还可防范另一个远程代码执行向量。该向量现记录为CVE-2026-115560，需要不寻常的配置和应用代码设置，因此被视为“不太可能”的攻击路径；PHP项目将在常规发布周期中处理。
公告具体说明，应用必须在配置中将session.serialize_handler设为php_binary或php_serialize，然后在调用session_start()前用ini_set()在运行时切换为php，同时会话上传进度仍须启用；从未在运行时更改序列化处理器的应用可以保持该功能启用。PHP项目敦促用户立即更新到PHP 8.5.12、8.4.27、8.3.36或8.2.35；若无法立即打补丁，可实施公告中的缓解措施。
美国国家安全局（NSA）建议未来数周对PHP2Shell保持“高度警惕”，优先应用所有与PHP2Shell相关的厂商补丁，并在适当情况下采取增强日志记录、替换已停止维护的PHP包等措施。NSA还称，所有用户应在可行范围内立即清点依赖当前易受攻击PHP版本的硬件和软件服务，并持续关注相关系统补丁。
Perforce Zend和OpenLogic首席产品经理Matthew Weier O’Phinney告诉ZDNet，大多数开源软件和商业长期支持软件发行版在协调发布时或之后几小时内已有补丁可用；如果使用PHP，现在很可能已有修复可用。