Theori复现PHP2Shell漏洞并发布应急指南
韩国安全公司Theori已复现PHP2Shell漏洞并发布应急响应指南，建议升级至PHP 8.2.35、8.3.36、8.4.27、8.5.12等修复版本。
据digitaltoday.co.kr报道，韩国安全企业Theori于2026年10月22日宣布，已完成对PHP引擎漏洞PHP2Shell（CVE-2026-109618、CVE-2026-109619）的自主复现与验证，并面向企业和机构发布紧急应对指南。
PHP2Shell是PHP引擎本身的缺陷，可导致未授权远程代码执行或进程内存读取，在CVSS v4.0中的评分为9.2（严重）。受影响版本包括PHP 8.2.34、8.3.35、8.4.26、8.5.11及更早版本，以及PHP 8.1以下的全部已停止支持版本（含7.x和5.x）。
PHP官方建议升级至修复版本8.2.35、8.3.36、8.4.27、8.5.12。对于难以及时更新PHP引擎的环境，Theori在指南中提供了紧急临时缓解措施。
Theori高级研究员임준오表示，PoC正在快速传播，应立即检查各操作系统发行版的补丁状态。
2026年10月早些时候，在官方安全公告发布之前，PoC演示视频和已打补丁的二进制文件已经泄露，相关PoC扩散速度较快。
快速问答
PHP2Shell漏洞的严重程度如何？
该漏洞在CVSS v4.0中评分为9.2（严重），可导致未授权远程代码执行或进程内存读取。
哪些PHP版本受PHP2Shell影响？
PHP 8.2.34、8.3.35、8.4.26、8.5.11及更早版本，以及PHP 8.1以下的全部已停止支持版本（含7.x和5.x）。
应升级到哪个PHP版本？
PHP官方建议升级至8.2.35、8.3.36、8.4.27或8.5.12。