ZONE.CI 全球网

GitLab存在CVSS满分10的未认证RCE漏洞，影响2014年7.0以来所有版本，源于Onigmo正则表达式编译器整数溢出。GitLab已发布多个版本修复，建议自管理实例立即升级至修复版本，并关注官方检测规则排查利用迹象。

紧急预警：PHP存在可绕过上层防护的远程代码执行漏洞，影响所有处理Web请求的PHP部署方式，版本低于8.5.12/8.4.27/8.3.36/8.2.35均受影响，攻击者无需认证即可执行任意代码。处置三步：查版本、升级、重启所有PHP进程。建议立即排查资产并升级，无法升级时采取临时缓解措施。

天融信发布PHP2Shell远程代码执行漏洞风险提示，该漏洞编号CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，影响PHP5及之后所有版本，特定条件下可无需认证远程执行代码。文章建议金融、电信、政务等重点行业优先排查PHP资产并尽快修复，关注公网暴露服务、CMS系统、容器化环境等重点场景，天融信多款安全产品已支持检测防护。

PHP官方披露PHP2Shell高危漏洞，涉及CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，影响PHP8.2至8.5全版本，可未授权远程代码执行。建议立即升级至修复版本并重启服务，排查资产，无法升级时部署WAF等临时防护。

启明星辰ADLab披露PHP两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，统称php2shell，无需认证即可远程触发。漏洞源于OOM异常导致请求状态损坏及残留内部状态引发释放后使用，影响PHP8.2至8.5多版本分支，已在8.4.26复现成功。建议立即升级至修复版本，并采取关闭上传进度、限制multipart请求等临时缓解措施。

绿盟科技CERT发布PHP远程代码执行漏洞通告，涉及CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，已发现在野利用。影响PHP8.5.11及以下多个版本，可致进程崩溃及任意代码执行。建议尽快升级至安全版本，并采取临时缓解措施，同时排查受影响资产并监控异常行为。

文档预警PHP两个严重远程代码执行漏洞，编号CVE-2026-109618和CVE-2026-109619，影响多个PHP版本，可导致未认证远程攻击者执行代码。建议用户及时更新至安全版本以消除隐患。

PHP爆出两个CVSS9.2致命RCE漏洞CVE-2026-109618与CVE-2026-109619，合称PHP2Shell，无需登录和交互即可远程攻击，影响全球约70%网站。漏洞由AI发现，日本首相高市早苗罕见发声呼吁修复。建议立即升级至修复版本8.2.35/8.3.36等，重启worker，临时缓解可设memory_limit=-1并关session.upload_progress，公网老项目能下线先下线。

2026年10月PHP曝出两个CVSS9.2的致命RCE漏洞导致全球多国政府网站紧急下线，该漏洞由AI模型在两天内发现并证实藏匿十余年，攻击者无需认证即可远程接管服务器，事件暴露了底层代码维护人力不足与AI加速攻防的矛盾，建议企业立即升级版本、隔离暴露面并推动向内存安全语言迁移。

PHP发布紧急安全更新，修复两项可能导致未经身份认证远程代码执行的严重漏洞，影响大量网站与应用生态，全球多国政府、医院及公共服务网站采取预防性下线措施，云平台和安全服务商部署防护，软件维护者推动补丁分发。

PHP曝出php2shell高危漏洞（CVE-2026-109618、CVE-2026-109619），CVSS评分9.2，攻击者可在特定条件下无需认证远程执行代码。漏洞位于PHP核心层，影响近十年版本，Apachemod\\_php部署已被证实可完整利用。工控设备Web管理面普遍使用PHP，补丁可达性差，暴露风险高。建议立即排查资产、升级至安全版本，并采取临时缓解措施。

CNVD发布PHP远程代码执行漏洞安全公告，影响8.2至8.5多个版本，未经身份验证的远程攻击者可利用恶意HTTP请求触发内存错误，导致拒绝服务、敏感数据窃取或远程代码执行。漏洞技术细节与PoC已广泛传播，风险高，建议受影响用户立即升级至官方修复版本。

PHP核心引擎曝出两个严重远程代码执行漏洞（CVE-2026-109618与CVE-2026-109619，合称php2shell），CVSSv4.0评分9.2，攻击者无需认证即可利用特制multipartPOST请求触发内存破坏实现RCE。官方已发布修复版本8.5.12等。中国电信天翼安全WAF已支持防护，建议用户优先升级并采取临时缓解措施。

PHP官方于2026年10月21日披露两个高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），统称PHP2Shell，CVSS评分9.2，影响PHP8.2至8.5多个版本及已停止维护的旧版，已出现野利用。根因是请求生命周期状态管理边界缺陷导致UAF与信息泄露，未认证攻击者可远程执行任意命令。官方已发布修复版本，建议立即升级并重启服务，同时排查资产与入侵痕迹。

OpenAI提出五阶段高危漏洞响应框架，源自处置PHP漏洞经验，漏洞由GPT-5.6Sol模型发现。框架针对影响大量产品的漏洞，分确认、准备、对接政府、扩大通知、公开指引五阶段，并通过三维度判定知情优先级。建议维护方、安全研究人员和运营方参与意见征集，以优化披露窗口期与修复策略。

PHP官方紧急修复两个高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS评分9.2，属堆UAF类内存缺陷，攻击者无需账号即可通过特制multipartPOST请求触发RCE。多国机构联合警告，受影响主机超130万台，利用已在野外出现。建议立即盘点资产、优先升级对外系统并重启PHPworker，修复版本为PHP8.5.12、8.4.27、8.3.36、8.2.35。

PHP2Shell漏洞（CVE-2026-109618与CVE-2026-109619）是PHP引擎层UAF组合漏洞，影响PHP5.4至8.5.11几乎所有版本，CVSSv4.0评分9.2，补丁公开前已在野利用。漏洞位于应用代码执行之前，纯HelloWorld应用也可被利用，WordPress等主流CMS均受影响。攻击路径含RCE与进程内存泄露，泄露性质接近Heartbleed。应急建议：优先处理mod_php环境，升级后必须重启worker进程，轮换可能泄露的凭据，临时缓解措施包括关闭session.u

GitLab发布紧急安全更新，修复存在12年的严重漏洞CVE-2026-110264，CVSS评分10.0，影响自托管服务器，可致未授权代码执行。漏洞源于整数溢出，通过特制正则表达式触发。官方已修复多个版本，建议自托管用户立即升级。同时修复其他11个安全漏洞，包括高危账号接管漏洞。

本文披露PHP两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，源于请求生命周期状态管理缺陷，无需认证即可触发堆UAF，导致内存泄露与远程代码执行。影响PHP8.2.35以下等多个版本。官方已发布修复版本，建议立即升级至PHP8.5.12、8.4.27、8.3.36或8.2.35，并重启服务或重建容器镜像。

宝塔面板针对PHPCVE-2026-109618和CVE-2026-109619严重漏洞发布修复方案，提供多版本PHP安全补丁及一键加固功能，并建议结合Nginx防火墙、系统加固、防入侵和PHP网站安全告警等防护措施，强调补丁升级不可替代，需完成版本检查与升级。