ZONE.CI 全球网

PHP核心出现严重漏洞，可导致远程代码执行，长亭已复现并发布修复方案，建议尽快升级或采取临时缓解措施。

PHP2Shell漏洞（CVE-2026-109618、CVE-2026-109619）可实现无认证远程任意命令执行，影响超百万级资产，利用门槛极低。文章分析漏洞态势三大趋势：AI加速漏洞批量生产、漏洞覆盖基础设施级、单点漏洞暴露长期风险。奇安信天戟AI渗透测试系统提供一键速查方案，可自动化完成渗透测试全流程，提效约61%，建议政企机构将自动化渗透测试嵌入日常运营。

PHP2shell远程代码执行漏洞(CVE-2026-109618/109619)影响PHP多个版本，无需认证即可远程触发，CVSS评分9.2，POC已公开。官方已发布修复版本，建议升级至8.2.35/8.3.36/8.4.27/8.5.12并重启服务，同时可采取临时缓解措施降低风险。

PHP发布紧急安全更新，修复CVE-2026-109618和CVE-2026-109619两个可导致未认证远程代码执行的高危漏洞，CVSS评分9.2，影响PHP5.4至8.5.11版本。攻击者无需认证即可利用漏洞执行任意代码，且漏洞细节在官方披露前已泄露，攻击可能早于公开披露。文章重点分析了对Web3行业链下环节的影响，指出约53.3%的加密行业相关域名具有PHP指纹。建议平台方尽快升级至修复版本、隔离暴露面、排查入侵迹象并轮换凭证，用户应警惕钓鱼风险并谨慎签名。

奇安信发布PHP远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）应对指南，已捕获全球近千源IP发起的数万次攻击，影响约2600万网络资产。建议政企机构尽快完成版本核查、升级重启和临时缓解，并借助奇安信全产品线实现从检测、渗透测试到防护的立体化支撑。

文档通报PHP核心两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，攻击者可利用内存不足异常及跨请求残留状态触发UAF实现RCE。网御星云提供检测、漏扫、态势感知及终端安全等多类产品升级方案，并建议用户尽快升级PHP版本以防护。

长亭安全应急响应中心披露PHPCore远程代码执行漏洞（CVE-2026-109618/109619），攻击者无需认证即可利用跨请求use-after-free读取进程内存或执行任意代码，影响PHP5.4至8.5多个版本。官方已发布修复版本，建议用户尽快升级至安全版本，并可通过关闭会话上传进度功能等临时缓解措施降低风险。

360发布PHP2Shell高危漏洞预警，涉及CVE-2026-109618和CVE-2026-109619，可致远程代码执行，影响超百万台服务器。建议企业立即升级至PHP8.5.12等安全版本，无法升级时采取临时缓解措施。360免费开放图龙锋安全体检服务，协助企业排查风险，推动安全防护从被动响应向主动发现转变。

本文详细解读了php核心远程代码执行漏洞CVE-2026-109618/109619(php2shell)的成因、影响范围、利用难度与修复方案。漏洞源于php请求生命周期边界的内存管理缺陷,影响php8.1至8.5多个版本,CVSS评分9.2,已发现在野利用。实际利用需满足mod_php、display_errors=on等条件,复杂度中等。建议立即升级至修复版本,并采取临时缓解措施,同时利用安全产品进行资产排查与攻击拦截。

启明星辰披露PHP两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，涉及内存不足异常中断及跨请求UAF。已捕获在野利用，攻击者组合利用构建RCE链。建议升级官方版本，并采用启明星辰检测防护产品、扫描系统及态势感知平台等方案应对。

华为星河AI网络安全已实现对PHP高危漏洞的防护覆盖，该漏洞潜伏十余年，可导致远程代码执行，影响全球超70%的网站。华为已发布针对该漏洞的防护措施，并强调建立常态化漏洞管理机制的重要性。

CNVD收录PHP远程代码执行高危漏洞（CNVD-2026-41674等），影响8.2至8.5多个版本，可致远程代码执行、拒绝服务及敏感信息窃取。建议立即升级至官方修复版本，暂无法更新者可采取限制内存、阻断跨请求状态传递及WAF拦截等缓解措施，并加强资产排查与日志监测。

CNVD发布PHP远程代码执行漏洞安全公告，影响8.2.35之前等多个版本，攻击者可实现拒绝服务、数据窃取及远程代码执行。建议用户立即升级至最新版本，暂无法更新者可采取限制内存、阻断跨请求状态传递、WAF拦截及持续监测等缓解措施。

深瞳漏洞实验室披露PHP会话上传进度机制存在两个预认证远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，影响PHP8.2至8.5多个版本，威胁等级严重，攻击者无需认证即可远程利用，可绕过disable_functions执行任意命令。官方已发布修复补丁，建议升级至最新版本，同时可采取禁用session.upload_progress等临时缓解措施。

PHP内核存在两个严重远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619），CVSS评分9.2，影响PHP8.1至8.5多个版本。漏洞源于OOM处理内存破坏及残留全局状态导致UAF，攻击者无需认证即可触发，但完整利用依赖特定SAPI、堆布局控制及ASLR处理。补丁发布前细节泄露，已监测到大量利用尝试。建议立即升级至安全版本并采取临时缓解措施。

本文深入剖析了PHP核弹级漏洞CVE-2026-109619的原理，该漏洞利用session.upload_progress在请求初始化前提前初始化session的机制，结合内存管理缺陷制造UAF，通过精心构造的multipart请求实现远程代码执行。攻击无需认证，早于应用代码执行，默认配置即可触发。文章还提到AI在发现此类复杂漏洞中的关键作用，并给出了临时缓解措施如关闭upload_progress或设置max\\_requests=1。

本文复现了PHP核心远程代码执行漏洞CVE-2026-109618与109619，影响PHP多个版本，CVSS评分9.2。漏洞源于session.upload_progress在rinit前解析multipart，导致OOM后内存损坏及跨请求状态污染，攻击者无需认证即可在Apachemod_php下实现完整RCE。官方修复版本为8.2.35/8.3.36/8.4.27/8.5.12，建议立即升级。

本文深入解析了PHP核弹级漏洞CVE-2026-109619的原理，该漏洞利用session.upload_progress在请求初始化前提前初始化session的机制，结合内存管理缺陷制造UAF，通过精心构造的multipart请求实现RCE。攻击无需认证，早于应用代码执行，影响广泛。建议升级PHP或关闭session.upload_progress.enabled，并考虑设置pm.max\\_requests=1缓解风险。

PHP官方紧急发布两个超高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619的补丁，统称PHP2Shell，影响全球约70%网站。多国政府和企业采取预防性措施。企业应立即升级PHP至修复版本，排查入侵迹象，无法修复时隔离高风险系统。临时缓解措施仅争取时间，不能替代补丁。

谷歌发布Chrome155稳定版更新，修复10个安全漏洞，其中预渲染释放后使用漏洞CVE-2026-110922被评为严重级别，另有5个高危漏洞涉及V8、DOM、核心和SVG等组件，部分漏洞由AI辅助发现，建议用户尽快更新浏览器。