高危预警|php2shell漏洞已被确认已在野利用

美国网络安全与基础设施安全局（CISA）于2026年10月26日确认，PHP2Shell 两个严重漏洞正在被积极利用，并将其加入已知被利用漏洞（KEV）目录。
漏洞详情（均为 CVSS 9.2）：
CVE-2026-109618：内存越界/损坏漏洞，可导致未认证远程代码执行（RCE）。
CVE-2026-109619：过时的内部请求状态漏洞，同样可导致未认证 RCE。
利用确认：Perplexity 检测与响应负责人 Adel Karimi 在10月24日通过蜜罐验证了成功的 RCE，包括内存泄露和后续执行载荷。
影响范围：
PHP 被约70%的网站使用。
Censys 估计仍有超过 3251万 个 PHP 服务运行受影响版本。
修复情况：
已于2026年10月21日在 PHP 8.5.12、8.4.27、8.3.36、8.2.35 中修复。
其他：大量厂商（包括 WordPress、Drupal、Citrix、Dell、HP、IBM、QNAP、Synology 等）已发布安全公告。同时提到 Windows 版 PHP 还涉及 Brotli 相关的 Broccoli2Shell 问题。
建议：尽快升级 PHP 版本，检查相关 CMS、Web 应用及依赖 PHP 的设备/服务。