据爱范儿报道，PHP 项目于 10 月 21 日发布安全更新，修复了两个严重等级的远程代码执行漏洞，编号 CVE-2026-109618 与 CVE-2026-109619，CVSS 4.0 评分均为 9.2（满分 10），代号 PHP2Shell。未经身份验证的远程攻击者只需向目标发送特制的 multipart POST 请求，即可触发内存破坏并最终实现远程代码执行，完全控制服务器。

两个漏洞均位于 PHP 请求生命周期的底层机制中，攻击入口集中在 multipart POST 请求的解析路径上；其中 CVE-2026-109619 源于工作进程在请求结束时未将错误、会话、对象等全局状态完全重置，处理下一个请求时访问残留状态，形成释放后使用（UAF）缺陷。这类问题藏在解释器内部，常规应用层防护难以察觉。

本次事件还有一段值得记录的协作过程：漏洞由 OpenAI 的 GPT-5.6 Sol 参与发现，其"Patch the Planet（修补地球）"开源安全项目组织了维护者、安全研究人员、云厂商与多国网安机构，进行了约两个月的协调修复，才在补丁就绪后公开细节，避免了零日裸奔窗口。腾讯云、阿里云、谷歌等厂商已同步发布风险通告。

PHP 驱动着全球约七成网站，大量内容管理系统、电商、论坛与企业内部系统构建其上。对运维团队而言，当务之急是盘点资产中所有 PHP 站点与运行版本，参照各发行版和云厂商通告完成升级；短期内无法升级的系统，应至少在网关层限制异常 multipart 请求并加强监控。

来源：爱范儿