尊敬的用户:您好! 


2026年10月21日,PHP官方披露CVE-2026-109618和CVE-2026-109619两个严重漏洞(代号PHP2Shell),攻击者可通过未经身份验证的请求远程执行代码。

漏洞概述
2026年10月21日,PHP官方披露CVE-2026-109618和CVE-2026-109619两个严重漏洞,统称PHP2Shell漏洞。未经身份验证的远程攻击者可通过发送特制的HTTP请求(如multipart POST请求)触发内存破坏,在服务器上执行任意代码。漏洞在请求进入业务代码之前即可触发,一定条件下,PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed等处理Web请求的部署方式将受影响。
这两个漏洞的严重程度评分(CVSS)为9.2,攻击者无需身份验证即可触发,漏洞细节和利用工具已在社区公开。

影响版本:环境中安装了以下PHP版本组件。
PHP 官方版本:受影响版本为 PHP 8.2.x(< 8.2.35)、PHP 8.3.x(< 8.3.36)、PHP 8.4.x(< 8.4.27)、PHP 8.5.x(< 8.5.12)。

影响说明:未经身份验证的远程攻击者利用此漏洞可获得Web工作进程权限,可访问或篡改该账户可访问的数据或文件、植入恶意程序,并可能进一步导致服务器被完全接管、敏感数据泄露、业务中断或服务不可用、植入后门或恶意代码。

请尽快排查业务中PHP的使用情况,若在影响范围内,建议第一时间完成更新或采取缓解措施。



　　　　　　　　　　　　　　　　　　　　　　 　淮安先锋网络科技有限公司
　　　　　　　　　　　　　　　　　　　　　　　　　　　　 2026年10月21日