昨天，PHP 和发布了重大漏洞，两个 CVSS 9.2 的未授权远程代码执行漏洞，漏洞细节在发布前泄露，攻击在补丁发布前几小时就已出现。 两个漏洞被合称为 PHP2Shell ： | 编号 通俗解释 | 评分 | | --- | --- | | CVE-2026-109618 PHP 内存用完时，清理工作没做好，留下烂摊子，被攻击者利用来执行代码 | CVSS 9.2（严重） | | CVE-2026-109619 上一个请求留下的旧数据没清干净，被下一个请求踩到，同样可以执行代码 | CVSS 9.2（严重） | | PHP 官方确认，Apache mod_php 在默认 PHP 输入与内存限制下，已验证完整 | RCE，而且攻击可以发生在业务脚本执行之前。 | 简单说就是攻击者不用登录，就可能让你的服务器执行他的代码。 要知道现在全世界可能有70% 的网站上 PHP做的，很多ZF官网都是 wordpress 搭建的 ，例如美国白宫的官网 https://www.whitehouse.gov/ ： 可以说现在全世界的网站都在瑟瑟发抖： 荷兰国家网络安全中心（NCSC）直接宣布把自己的官网（ncsc.nl）暂 ...