CISA 已确认两项“PHP2Shell”高危安全漏洞已被用于真实攻击，并将其纳入已遭利用漏洞目录（KEV）。该机构要求美国联邦民事行政部门机构在 10 月 29 日（周四）前完成修复，并排查系统是否已被入侵。
涉及的漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，均于 2026 年 10 月对外公开。根据 PHP 官方安全公告及网络安全机构的信息，这两项漏洞可能允许未经身份验证的远程攻击者在受影响的服务器上执行任意代码，风险评级均为 CVSS 4.0 体系下的 9.2 分。
安全研究人员已发现针对 PHP2Shell 漏洞的实际利用行为。研究员阿德尔・卡里米（Adel Karimi）通过蜜罐系统捕获了成功远程执行代码的证据。相关攻击针对运行 Apache mod_php 的 PHP 服务器，表明攻击者已能在特定环境下利用漏洞执行系统命令。
PHP2Shell 漏洞的风险在于，攻击者可能无需获取目标系统的合法账户权限，即可在特定条件下执行恶意代码。PHP 广泛用于网站和 Web 应用，因此，运行受影响 PHP 版本且直接暴露于互联网的服务器需优先排查和修复。
PHP 官方已于 10 月 21 日发布安全更新，修复版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
美国 CISA 此前也发布安全警报，敦促组织立即安装更新，并优先处理面向互联网的 PHP 系统。对于暂时无法更新的系统，CISA 建议将相关 PHP 服务下线，直至完成修复；无法立即更新的组织还应考虑部署 Web 应用防火墙等临时防护措施。
IT之家提醒，运行 PHP 的网站管理员及企业安全团队应尽快盘点服务器上的 PHP 版本，安装对应安全更新，并检查异常进程、可疑命令执行记录及其他潜在入侵迹象，避免仅完成补丁更新却忽略此前可能发生的安全事件。
