PHP严重远程代码执行（RCE）漏洞（代号 php2shell）

PHP "php2shell" 核心 RCE 漏洞

• 漏洞编号：CVE-2026-109618、CVE-2026-109619

• 漏洞机理：攻击者通过向受影响的服务发送特制的 multipart/form-data 文件上传/POST 请求，在未经身份验证的情况下触发内存损坏或核心执行逻辑缺陷。

核心影响

• 无需凭据全控服务器：未经身份验证的外部攻击者可直接实现任意远程代码执行（RCE），接管运行 PHP 的 Web 服务器权限，导致主机失陷、内网横向移动或敏感数据泄露。

• 受影响范围极大：涵盖当前所有主流活跃维护分支（PHP 8.2 ~ 8.5）；大量运行 PHP 7.x 及 8.0/8.1 等已 EOL（停止支持）旧版本的分支由于没有官方现成补丁，面临直接暴露风险。

• 波及全栈 CMS 与 Web 应用：任何解析标准 PHP 请求的后端（包括 WordPress、Laravel、各种私有 Web 接口等）只要对外暴露，均在受攻击面上。