美国CISA将两个PHP高危漏洞列入已遭利用清单
这两个漏洞被统称为PHP2Shell，美国联邦民事机构须在10月29日前完成修补。
美国网络安全和基础设施安全局（CISA）已将两个PHP漏洞列入“已知被利用漏洞”目录，并确认这些漏洞已在真实攻击中被利用。据TechCrunch报道，这两个漏洞编号分别为CVE-2026-109618和CVE-2026-109619，被统称为PHP2Shell。
CISA要求美国联邦民事机构在10月29日前为受影响系统打上补丁。
PHP开发团队已于10月21日发布安全更新修复上述漏洞。部分组织和大型企业为安装补丁，曾暂时将网站下线。
PHP项目建议用户升级至8.5.12、8.4.27、8.3.36或8.2.35版本。
漏洞此前的发现与处理
在2024年的一次安全审计中，相关人员曾发现相关漏洞，但因当时未能证明其可被利用，漏洞未被修复。安全公司Kalif的研究人员发现了此次的远程代码执行问题。
快速问答
受影响系统应在何时前完成修补？
CISA要求美国联邦民事机构在10月29日前完成修补。
应该升级到哪个PHP版本？
PHP项目建议升级至8.5.12、8.4.27、8.3.36或8.2.35版本。