PHP 引擎两个 9.2 分 RCE 漏洞细节提前泄露，补丁发布 20 分钟即遭扫描潮
2026 年 10 月 21 日前后，PHP 引擎被披露存在两个 critical 级远程代码执行漏洞，通称 php2shell（CVE-2026-109618 / CVE-2026-109619，两者均为 CVSS v4.0 9.2 分）。漏洞细节与公开 exploit 在官方补丁发布前即遭泄露，导致大量服务器在无补丁状态下暴露，被形容为影响全球约三分之二网站代码的重大安全事件。
已确认
- 两个漏洞均可导致未认证远程代码执行，影响 PHP 5.4 及以上所有版本。据 @unixterminal 转述的技术分析：CVE-2026-109618 是请求初始化时留下未完全初始化的数据、被 shutdown 阶段当作有效数据处理；CVE-2026-109619 是请求堆释放后全局状态残留悬空指针，同一问题可被重复触发。
- 据 @neallathia 转述的梳理，漏洞影响面覆盖 WordPress、MediaWiki、Magento、Joomla、Laravel 等生态，约 150 万台服务器在细节泄露后一度无补丁可打。
- Vercel 在 @cramforce 转述的安全公告中披露，其在漏洞公开前已上线 WAF 规则并正在拦截攻击。
- 据 @cyb3rops 转发的 Hunt.io 追踪报告，补丁于 10 月 21 日发布后仅 20 分钟即出现针对漏洞的扫描潮。
- 漏洞曝光当日（10 月 21 日），一家基于 WebAssembly 的 PHP 运行时厂商（@MickeySteamboat 两次提及）公布系统性验证计划：在隔离环境用合成数据复现生产运行时，测试请求初始化、内存失败后的清理以及跨重复请求的场景。
尚未确认
- 漏洞细节为何在补丁发布前泄露、泄露渠道与 AI 在其中的具体角色，目前仅有研究者「AI 摧毁负责任披露」的感叹（@unixterminal），无确切成因披露。
为什么重要
- 未认证 RCE 加上提前泄露的 exploit，意味着任何暴露在公网的受影响 PHP 服务都可能被直接接管，是近年来影响面最大的供应链级安全事件之一。
- 事件暴露了负责任披露流程在大模型时代面临的压力：细节与利用代码的生成和扩散速度已快于补丁分发。
- WASM 运行时厂商借机展示隔离优势并做系统验证，开发者社区则出现「编译成 WASM 就不受 CVE 影响」的调侃（@MickeySteamboat），侧面反映业界对替代运行时防护路径的关注。
2026-10-22 ~ 2026-10-23 · 6 条相关
- 第 1 集:PHP 紧急修复两个未认证 RCE 漏洞，OpenAI 模型参与发现(2026-10-21,113 条)
- 第 2 集:研究者预测 LLM 扫 PHP 代码库或挖出数十个漏洞(2026-10-21,3 条)
- 第 3 集:PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)
- 第 4 集:「黑色十月」：十余开源项目连环曝严重漏洞(2026-10-21,27 条)
- 第 5 集:LLM 生成虚假 PHP 漏洞 PoC 引发安全圈恐慌(2026-10-21,2 条)
- 第 6 集:PHP 8.4.26 纯 HTTP 绕过 ASLR 实现 RCE 的复现项目开源(2026-10-21,2 条)
- 第 7 集:PHP 引擎两个 9.2 分 RCE 漏洞细节提前泄露，补丁发布 20 分钟即遭扫描潮(2026-10-22,6 条)
- 第 8 集:PHP 8.5.12 补丁被指不完整，php2shell 漏洞仍可触发(2026-10-22,2 条)
- 第 9 集:php2shell 漏洞以手绘漫画形式讲述 20 年溯源(2026-10-22,2 条)
- 第 10 集:PHP 零日仓促修补叠加 ARTEX 代理攻击，被称史上最糟网络安全日(2026-10-22,28 条)
- 第 11 集:PHP2Shell 漏洞公开披露前 4 天已遭在野利用(2026-10-22,2 条)
- 第 12 集:php2shell 漏洞公开后攻击一夜破百万(2026-10-22,3 条)
- 第 13 集:Drupal/PHP 漏洞潮爆发 安整工程师全天救火加固客户站点(2026-10-22,2 条)
- 第 14 集:PHP2Shell 漏洞被 AI 挖出，全球紧急修复(2026-10-22,12 条)
- 第 15 集:投资人 Deedy 警告 AI 让漏洞利用门槛大幅降低(2026-10-22,3 条)
一手来源
- PHP 引擎曝两个 critical RCE 漏洞，Vercel WAF 已在拦截攻击 — cramforce ·
- PHP 漏洞爆发后，一家厂商公布 WebAssembly 运行时验证方案 — MickeySteamboat · 2026-10-22
- 【源头】PHP 引擎曝两个 critical RCE 漏洞，Vercel WAF 已在拦截攻击 — cramforce · 2026-10-22
- PHP 曝两个无需登录 RCE 漏洞，细节提前泄露致 150 万服务器无补丁可打 — neal_lathia · 2026-10-22
- PHP2Shell 两个 9.2 分 RCE 漏洞泄露,补丁发布 20 分钟即现扫描潮 — cyb3rops · 2026-10-23
- PHP 双漏洞可致未认证 RCE，研究者叹 AI 摧毁负责任披露 — unixterminal · 2026-10-23
- PHP 大漏洞爆发，程序员开涮：编译成 WASM 就不受 CVE 影响 — MickeySteamboat · 2026-10-23