PHP 基地发布两个高危漏洞补丁

PHP 基地于星期三公开发布了两个 PHP 高危漏洞的补丁。这两个漏洞被统称为 PHP2Shell，编号分别为 CVE-2026-109618 和 CVE-2026-109619，可使攻击者在未认证的情况下于受影响系统上远程执行代码。

据 TechCrunch 报道，在补丁公开前，PHP 基地依据协同披露的禁运安排，向大型互联网公司和网络托管商提前提供了补丁，其中包括依赖 PHP 的企业。

漏洞公布后，银行、零售商、游戏网站、在线商店、医院以及部分政府机构将服务器下线或关闭网站以安装补丁。政府方面也从星期三开始呼吁公民和企业采取措施，降低相关风险。

这两个漏洞由安全研究人员在 2024 年首次发现，但当时既未修复，也未被认定可被利用。研究人员近期找到了利用漏洞的方法，并通知了 PHP 基地，后者随即启动协同修复与禁运流程。

PHP 是免费开源语言，经过数十年发展已成为使用最广泛的网页编程语言之一。约 70% 面向互联网的网站依赖 PHP，WordPress、Drupal、Joomla 和 MediaWiki 等软件均由它驱动，不过其使用率近年来在缓慢下降。