美国网络安全和基础设施安全局（CISA）周一确认，近期完成修补的 PHP2Shell 漏洞已遭到实际利用，两个漏洞被正式列入其「已知被利用漏洞」（KEV）目录。两个漏洞在 CVSS 评分体系中均为 9.2 分，均可在受影响部署上实现未认证远程代码执行。

打开网易新闻 查看精彩图片

两个漏洞的编号与成因分别是：

  • CVE-2026-109618：内存耗尽型破坏漏洞，可导致未认证远程代码执行。
  • CVE-2026-109619：内部请求状态残留漏洞，同样可导致未认证远程代码执行。

在进入 KEV 目录之前，Perplexity 检测与响应负责人 Adel Karimi 已于 2026 年 10 月 24 日确认，针对蜜罐系统的远程代码执行取得了成功实例。

Karimi 表示：「这已经是确认的 RCE，带有可用的内存泄露，而不只是一次崩溃后跟着一个可疑进程。」他进一步说明：「响应返回了 800 KiB 的解码 cookie 转储，而利用该转储、结合公开利用代码偏移量推导出的一个函数地址，出现在随后的执行载荷中。」

Karimi 同时给出了适用边界：「证据展示的是这条利用链在刻意设置的有利单 worker mod_php 配置上的表现；它不是对其他 worker 数量、PHP 构建版本或应用程序上利用可靠性的测量。」

相关缺陷已在 2026 年 10 月 21 日发布的 PHP 版本 8.5.12、8.4.27、8.3.36 和 8.2.35 中得到处理。联邦机构须在 2026 年 10 月 29 日之前完成必要修复。

PHP 全称为 PHP: Hypertext Preprocessor，是一种服务端脚本语言，互联网上约 70% 的网站都在使用。根据 Censys 分享的估算数据，仍有超过 3251 万个 PHP 服务运行着受影响的版本。

漏洞的严重程度已促使全球大量软件与安全厂商、政府机构发布公告，名单包括 ABB、Arista Networks、Belden、Broadcom、Canon、Citrix、Dell、Dormakaba、F5、海康威视、惠普、HPE、日立能源、HMS Networks、华为、IBM、Ivanti、江森自控、Mitel、Moxa、NETGEAR、Okta、QNAP、罗克韦尔自动化、Ruckus Wireless、Salesforce、施耐德电气、西门子、SonicWall、Splunk、群晖、Veeam、Wibu-Systems 以及 WordPress。

截至 2026 年 10 月 26 日，PHP 基金会还发布了 Windows 构建版本 8.5.12-1、8.4.27-1、8.3.36-1 和 8.2.35-1，用于处理 CVE-2026-111497——Brotli 解码器库中的一个越界写入漏洞，同样可能造成权限提升和未认证远程代码执行。

该漏洞也被称为 Broccoli2Shell、HTTP2Shell 和 Node2Shell，影响 Brotli 版本 1.0.3 至 1.0.9、1.1.0 以及 1.2.0，已在 1.0.10、1.1.1 和 1.2.1 中完成修补，同时涉及包含该 C 库的其他项目，包括 Node.js、Bun、Envoy Proxy、Istio、.NET 和 Python。

PHP 基金会说明：「在 PHP 的 Windows 构建中，当启用自动 HTTP 响应解压缩时，可以通过 cURL 扩展触达存在漏洞的解码器。」并补充：「该功能在 cURL 中默认关闭，但应用程序和 HTTP 客户端库可以将其开启。」