PHP2Shell高危漏洞公开，可未授权远程执行代码
Wiz、OpenAI与Calif联合披露PHP运行时两个内存安全漏洞，CVSS v4.0评分均为9.2分，无需认证即可触发。
据 dailysecu.com 报道，安全公司Wiz与OpenAI以及安全研究团队Calif联合公开了PHP运行时中的PHP2Shell内存安全漏洞，编号为CVE-2026-109618和CVE-2026-109619。
两个漏洞均归类为CWE-824（未初始化指针访问），CVSS v4.0评分为9.2分（严重级别），可导致无需认证、无需用户交互的远程代码执行。攻击复杂度被评为“高”，因为利用漏洞需要绕过内置缓解机制，并在同一Apache工作进程上精确布置堆内存。
CVE-2026-109618源于PHP通过longjmp()处理内存耗尽退出流程的方式，由Calif、Wiz、OpenAI和Quarkslab共同报告。CVE-2026-109619则源于致命错误退出时全局状态仍指向已释放的内存，由Wiz、Calif和OpenAI报告。
据估计，PHP2Shell影响PHP 5.4.0及之后的版本，但并非每个发行版本都经过单独测试。在演示的5种攻击手法中，有3种利用PHP的会话上传进度功能作为远程触发点，该功能在应用程序代码之前执行。
PHP仍是主流服务端语言
据该报道，在已确认使用服务端语言的网站中，超过69%使用PHP。
快速问答
PHP2Shell漏洞影响哪些PHP版本？
据估计影响PHP 5.4.0及之后的版本，但并非每个发行版本都经过单独测试。
PHP2Shell漏洞的严重程度如何？
两个漏洞均归类为CWE-824，CVSS v4.0评分为9.2分（严重），可导致无需认证的远程代码执行，但攻击复杂度被评为高。