IT之家 10 月 27 日消息，美国网络安全和基础设施安全局（CISA）已将两项“PHP2Shell”严重安全漏洞列入已遭实际利用漏洞目录（KEV），确认相关漏洞已被攻击者用于实际攻击。
CISA 要求美国联邦民事行政部门机构在当地时间 10 月 29 日（周四）前完成修复，并检查相关系统是否已遭入侵。
此次涉及的漏洞编号分别为 CVE-2026-109618 和 CVE-2026-109619，均于 2026 年 10 月公开披露。
根据 PHP 官方安全公告及网络安全机构发布的信息，这两项漏洞可能允许未经身份验证的远程攻击者在受影响的服务器上执行任意代码，风险评级均为 CVSS 4.0 体系下的 9.2 分。
安全研究人员已发现针对 PHP2Shell 漏洞的实际利用活动。安全研究人员阿德尔・卡里米（Adel Karimi）通过蜜罐系统捕获了成功远程执行代码的证据。相关攻击针对运行 Apache mod_php 的 PHP 服务器，表明攻击者已能够在特定环境下利用漏洞执行系统命令。
PHP2Shell 漏洞的风险在于，攻击者可能无需取得目标系统的合法账户权限，即可利用特定条件下的漏洞执行恶意代码。PHP 广泛应用于网站和 Web 应用程序，因此，运行受影响 PHP 版本且直接暴露于互联网的服务器需要优先排查和修复。
PHP 官方已于 10 月 21 日发布安全更新，修复版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
美国 CISA 此前也曾发布安全警报，敦促组织立即安装更新，并优先处理面向互联网的 PHP 系统。对于暂时无法更新的系统，CISA 建议将相关 PHP 服务下线，直至完成修复；无法立即更新的组织还应考虑部署 Web 应用防火墙等临时防护措施。
IT之家提醒，运行 PHP 的网站管理员及企业安全团队应尽快盘点服务器上的 PHP 版本，安装对应安全更新，并检查异常进程、可疑命令执行记录及其他潜在入侵迹象，避免仅完成补丁更新却忽略此前可能发生的安全事件。
