#PHP

PHP 项目发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个可导致未认证远程代码执行的漏洞 CVE-2026-109618 与 CVE-2026-109619，CVSS 4.0 评分均为 9.2。公告称所有处理 Web 请求的 PHP 部署都受影响，包括 PHP-FPM、Apache mod\php、php-cgi、FrankenPHP 和 LiteSpeed，其中 mod\php 风险最高，已有未认证请求在应用代码运行前触发攻击的演示。官方只为仍受支持的 8.2 至 8.5 分支提供更新；8.1 及更早版本已停止常规维护，但项目为 7.4、8.0 和 8.1 提供了供回移使用的最小源码补丁，并称 Linux 发行版已提前收到补丁。PHP 基金会表示，两个 CVE 编号及一个错误的 10.0 评分提前外泄，报告方又误发了 PoC 视频，促使发布提前并加速了利用代码传播。

Dream Group 在一篇博客中报告，攻击者把 PHP 到 shell 的“PHP2Shell”利用与 Linux 内核 XFRM ESP-in-TCP 子系统漏洞串联，入侵了 25 台服务器，其中包括美国政府系统。该报告称这是一次多阶段链式攻击，但来源条目没有提供原文，也没有独立验证，因此服务器数量、受影响目标和具体漏洞细节都应视为该厂商的单方面说法。对运行 PHP 应用和 Linux 服务器的管理员来说，目前可核实的只是有人公开声称存在这样一条利用链，其完整技术细节和影响范围仍待确认。