PHP2Shell CVE-2026-109618未授权RCE

资讯专家

PHP官方计划于2026年10月21日14:00 UTC（10:00 ET）发布两个严重PHP漏洞的补丁，但漏洞细节及PHP2Shell名称已在协调披露前泄露。两个漏洞据报为CVE-2026-109618和CVE-2026-109619，CVSS评分均为9.2，可能导致未认证远程代码执行（RCE）。CERT-EU根据CVSS评分指出，两者均可在无需认证的情况下被利用。

目前公开信息尚未给出根因、受影响组件和攻击路径；一份报告称CVE-2026-109618为use-after-free漏洞。公开报道还称PHP 5起版本均受影响，但该范围仍需以官方公告为准。PHP官方建议所有用户提前准备，在补丁发布后立即升级；若技术细节被公开或出现野外利用证据，修复版本可能提前发布。

WatchTowr表示已成功复现CVE-2026-109618，但因敏感性暂不分享技术信息；其CEO Benjamin Harris确认这些漏洞真实存在。WatchTowr与Huntress均称尚未观察到两个漏洞遭野外利用。Sansec则判断，补丁发布后15分钟内可能开始大规模利用。

处置建议：持续关注PHP官方安全公告和补丁状态；补丁可用后尽快升级，优先处理暴露于互联网的PHP应用；升级前评估WAF虚拟补丁、限制不必要访问、加强日志和异常进程监控等临时缓解措施；在官方信息明确前，不要依赖未公开细节进行扫描或利用验证。由于公开细节缺少受影响组件，资产清点和版本核对应以官方公告为准。