ZONE.CI 全球网

本文分析php远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，攻击者利用session.upload\\_progress注入序列化载荷进行试探，建议关闭该功能并升级至修复版本。

PHP曝出两个高危远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，统称PHP2Shell，CVSS评分8.1，无需认证即可利用，已发现在野攻击。影响PHP多个主流版本，全球多国已紧急响应。建议立即升级至官方修复版本并重启服务，同时使用安全产品检测拦截。

安恒信息披露PHP两个严重远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，影响PHP5.4至8.5多个分支，已确认可远程代码执行。建议尽快升级至8.2.35、8.3.36、8.4.27、8.5.12或更高版本，并提供了临时缓解措施。

本文解析GDPR第32条对网络安全的强制要求，指出漏洞扫描报告不等于安全措施本身。核心结论是安全措施需风险导向，三类检测各有边界不能互相替代。可操作建议：将技术漏洞翻译为个人数据风险、提供完整整改闭环证据、保留复测对比结论，并建立定期测试流程。

PHP爆出两个代码执行漏洞CVE-2026-109618与CVE-2026-109619，影响8.2至8.5多个版本，CVSS评分9.2，攻击复杂度高但无需登录，可远程触发，官方称可发展为远程代码执行。建议立即升级至8.5.12、8.4.27、8.3.36或8.2.35修复版本，并关注官方公告与补丁细节。

php官方发布CVE-2026-109618和CVE-2026-109619安全公告，两漏洞被命名为php2shell，CVSSv4.0评分9.2，与PHP请求生命周期内存状态管理缺陷有关，可导致远程代码执行。影响PHP8.2.x至8.5.x多个版本，建议升级至修复版本，并采取临时缓解措施。知其安已提供验证用例。

2026年10月21日披露的php2shell漏洞（CVE-2026-109618和CVE-2026-109619）为CVSS9.2级PHP远程代码执行漏洞，影响全球70%互联网网站，已存在超十年。漏洞为内存安全问题，可导致未认证RCE及敏感数据泄露。AI在漏洞发现和利用开发中发挥关键作用，已出现大规模野外利用。官方修复版本为PHP8.5.12、8.4.27、8.3.36和8.2.35，紧急缓解措施包括禁用session.upload\\_progress。

本文介绍用Go语言和chromedp实现0day.today漏洞平台监控的方案。核心思路是直接抓取按日期归档的URL，用无头浏览器处理交互式反爬，用goquery解析漏洞条目，根据CVE编号和价格字段判断告警优先级。建议监控原始数据源而非聚合平台，并做好数据质量校验和合规边界控制。

本文由弥天安全实验室发布，成功复现SPIP系统远程代码执行漏洞CVE-2026-77806。该漏洞影响SPIP4.4.21之前版本，源于X-Spip-FiltreHTTP请求头被错误处理，未经身份验证的远程攻击者可执行任意代码。文章提供了详细复现步骤与POC，并建议升级至最新版本或部署WAF等防御设备以缓解风险。

通报了四起高危漏洞和一起供应链投毒事件，包括PHP预认证远程代码执行、GitLab免认证远程代码执行、LiteLLM供应链投毒和Node.js多漏洞安全更新，并提供了修复方案和处置要求。

PHP官方修复两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，源于session上传进度处理路径的堆释放后重用，无需认证即可利用，已发现在野攻击。影响PHP8.2.35以下等多个版本，建议升级至修复版本，临时缓解可关闭session.upload\\_progress.enabled并加强监控。

CNNVD通报PHP存在资源管理错误漏洞，涉及CVE-2026-109618与CVE-2026-109619，源于内存处理错误可致内存泄露及远程代码执行，影响PHP8.2.35前、8.3.36前、8.4.27前及8.5.12前版本。官方已发布修复版本，建议用户尽快更新确认产品版本并采取修补措施。

PHP官方紧急发布两个CVSS9.2分RCE漏洞（php2shell），攻击可在业务代码前触发且无需认证。核心建议立即升级至8.5.12等修复版本并重启进程；临时措施需区分漏洞：关闭上传进度功能，同时将memory\\_limit设为-1而非调小。因存在部署差异与升级障碍，需全面盘点PHP实例并回查日志以应对窗口期风险。

PaloAltoGlobalProtectVPN产品的高危漏洞CVE-2026-0257遭多个勒索软件团伙大规模利用，包括Qilin和Settra等，攻击者借此建立未授权VPN会话进入内网，影响教育、金融、医疗等11个行业，并进一步攻击虚拟化设施。官方建议相关组织尽快排查修复，并关注攻击指标。

PHP发布安全更新，修复CVE-2026-109618和CVE-2026-109619两个关键远程代码执行漏洞，影响PHP8.5.12及更早版本。攻击者可未经认证触发漏洞，风险极高。官方强烈建议立即更新至修复版本，并提供了临时缓解措施，包括调整memory\\_limit、限制请求体大小等。用户应尽快升级并验证实际运行环境。

PHP官方修复两个可致未认证远程代码执行的关键漏洞（CVE-2026-109618与CVE-2026-109619），影响所有PHP安装，mod\\_php风险最高。利用条件苛刻，需内存地址泄露与精确布局调整，非即插即用。建议立即升级至8.5.12等修复版本，暂无法升级可采取缓解措施，并排查PaloAlto设备及WAF防护状态。

php官方紧急修复两个CVSSv4.09.2严重远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619），影响php5.4至8.5.11，无需认证即可远程利用，已出现野利用尝试。官方建议立即升级至修复版本，临时缓解可关闭session.upload\\_progress，并排查日志。

该文档为矢安科技发布的PHPCore远程代码执行漏洞安全通告，涉及CVE-2026-109618与CVE-2026-109619两个漏洞。通告发布时间为2026年10月22日，属于高危漏洞预警。建议相关用户密切关注官方补丁更新，及时修复漏洞，加强安全防护措施，防范潜在攻击风险。

文章指出AI使漏洞发现成本大幅降低，Anthropic的ProjectGlasswing项目确认超12.9万个真实漏洞，但修复率不足7%。行业重心正从发现漏洞转向判断漏洞优先级，安全人员需提升风险定价能力，个人用户应及时更新系统。

WDScanner是一款面向批量安全检测场景的分布式Web漏洞扫描平台，采用PHP5与Python2混合实现，集成AcunetixWVS10作为扫描内核，支持资产建档、周期任务调度、整站爬取、指纹识别、暗链检测及中文报告导出等功能。平台开源免费，适合甲方安全团队与渗透服务团队使用。使用前须获得目标所有者合法授权，禁止未授权测试。