ME News(@MetaEraCN):PHP核心曝出两个高危未认证远程代码执行漏洞，官方紧急发布补丁这两个漏洞被统称为 PHP2Shell，严重性评分均为 CVSS 9.2。它们允许攻击者在无需登录的情况下，在受影响的服务器上执行任意代码，还可能造成内存信息泄露。 2026年10月20日，两个PHP核心漏洞的细节提前泄露。PHP官方于10月21日紧急发布安全更新，修复这两个漏洞。 PHP 8.1 及更早版本已停止官方支持，PHP官方提供了源码级别的最小backport，但建议优先升级到受支持的分支，或向发行版/LTS供应商确认是否有补丁。官方补丁发布前后，已有安全公司观测到野外利用尝试。目前大规模成功入侵的报告还不多，但风险窗口期正在扩大。这是近年来PHP比较严重的一次核心安全事件。由于PHP支撑了大量网站，未及时打补丁的服务器面临较高被入侵风险。如果你管理服务器或网站，建议尽快检查并升级PHP版本。

2026.10.22 02:18

PHP核心曝出两个高危未认证远程代码执行漏洞，官方紧急发布补丁这两个漏洞被统称为 PHP2Shell，严重性评分均为 CVSS 9.2。它们允许攻击者在无需登录的情况下，在受影响的服务器上执行任意代码，还可能造成内存信息泄露。 2026年10月20日，两个PHP核心漏洞的细节提前泄露。PHP官方于10月21日紧急发布安全更新，修复这两个漏洞。 PHP 8.1 及更早版本已停止官方支持，PHP官方提供了源码级别的最小backport，但建议优先升级到受支持的分支，或向发行版/LTS供应商确认是否有补丁。官方补丁发布前后，已有安全公司观测到野外利用尝试。目前大规模成功入侵的报告还不多，但风险窗口期正在扩大。这是近年来PHP比较严重的一次核心安全事件。由于PHP支撑了大量网站，未及时打补丁的服务器面临较高被入侵风险。如果你管理服务器或网站，建议尽快检查并升级PHP版本。