严重漏洞提早泄露并引发在野攻击
PHP核心引擎日前被披露存在两个关键的远程代码执行（RCE）与内存泄露漏洞，编号为CVE-2026-109618与CVE-2026-109619，被统称为“PHP2Shell”。该漏洞影响范围极广，覆盖自PHP 5.4至8.5.11版本。在官方正式公布前，相关漏洞信息于10月20日被泄露至Hacker News，打破了预设的保密期。
安全研究团队Calif确认，针对Magento、WordPress、Drupal及Joomla等主流PHP应用程序，均已证实存在利用该漏洞的预身份验证远程代码执行攻击。在官方补丁面世前，Cloudflare于世界协调时10月21日07:43已监测到针对PHP站点的早期攻击行为，并紧急部署了WAF规则进行流量拦截与安全防护。
官方紧急推送补丁与云厂商应对指引
针对严峻的安全风险，PHP官方团队于2026年10月21日发布了紧急安全更新，提供修复的受支持版本包括8.5.12、8.4.27、8.3.36以及8.2.35。而PHP 8.1及更早版本因已进入生命周期结束（EOL）阶段，将不会收到修复更新。
针对此次事件，Google Cloud发布安全公告称在其基础设施上运行PHP环境的用户可能受到影响。Google Cloud目前正针对PHP 8.2及更高版本的无服务器环境基础镜像自动推送修复，并敦促在弹性环境等自定义配置下运行PHP的客户立即手动更新至已修复版本，以防范潜在攻击风险。