AI 工具发现的 PHP2Shell 漏洞遭大规模利用，黑客提前四天得手

条目所引 Ars Technica 于2026年10月22日报道称，PHP 两个关键漏洞在公开披露前已被攻击者利用，且 Amazon 观察到漏洞进入广泛利用阶段；PHP 官方随后发布了对应安全公告和修复版本，使该事件同时涉及漏洞响应速度与实际暴露面。

• PHP 官方公告称，CVE-2026-109618 和 CVE-2026-109619 可导致未经认证的远程代码执行。
• PHP 官方列出的修复版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
• 公告称，受影响场景包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。
• PHP 官方表示，部分缓解措施不能替代升级；旧版本用户还面临支持周期和补丁获取渠道差异。
• 影响/看点：若媒体所述的提前利用和广泛攻击判断与云服务商遥测一致，使用 PHP 处理公网请求的组织将面临较短修复窗口；实际风险取决于部署模式、版本、暴露接口及补丁落地速度。
• 资料依据:
• PHP 官方安全公告（2026-10-21）：https://www.php.net/ChangeLog-8.php
• Ars Technica（2026-10-22）：https://arstechnica.com/security/2026/10/hackers-got-a-four-day-head-start-on-epic-php2shell-vulnerability/

本内容由 AI 生成，仅供参考，请注意甄别