华夏商业网_华夏财经_华夏资讯
紫金财经10月22日消息 10月21日，PHP官方发布紧急安全更新，修复两个可导致未认证远程代码执行（RCE）的高危漏洞，编号分别为 CVE-2026-109618 与 CVE-2026-109619，社区将其称为“PHP2Shell”。两漏洞CVSS v4评分均为 9.2。
漏洞位于PHP解释器内核，而非某个应用或插件。攻击者在无需登录的情况下，发送特制HTTP请求即可触发内存破坏或释放后使用，以Web进程权限执行任意代码。 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed等部署形态均受影响，其中mod_php风险最高，官方已演示单条请求在业务代码运行前触发攻击。
CVE-2026-109618与内存耗尽（OOM）处理有关：请求数据未初始化完成时触发longjmp退出，清理流程误把无效数据当有效数据；CVE-2026-109619则是请求结束后的全局状态残留，下一请求在同一工作进程内复用已释放内存。
由于PHP支撑着全球大量网站底层运行环境，WordPress、Drupal、Joomla、Magento、Laravel等均可能受波及。 补丁发布前，荷兰、芬兰等部分政府机构及公共服务平台曾临时下线避险。 安全厂商监测显示，公网暴露的潜在受影响PHP实例规模达千万级。
官方修复版本为 PHP 8.5.12、8.4.27、8.3.36、8.2.35。 PHP 8.1及更早分支已停止官方维护，仅部分发行版提供回溯补丁，源码编译用户可参考官方最小回移补丁。 临时缓解措施（如关闭session.upload_progress、设memory_limit=-1）只能缩小攻击面，不能替代升级。
同一时段，Node.js也发布安全更新，22.23.4、24.22.1、26.12.1共修复10个漏洞，其中4个高危，涉及Brotli解码器越界写入与TLS主机名校验绕过。 印度证书机构eMudhra八张中间证书因密钥生成缺陷被恢复，Chrome、Firefox及Node.js均已拉黑。
安全团队普遍提醒：补丁公开后，攻击者可通过比对代码差异快速生成利用脚本，升级、重启服务、清点嵌入式PHP资产需在窗口期内完成。