北京
美国网络安全和基础设施安全局（CISA）周一确认，近期完成修补的 PHP2Shell 漏洞已遭到实际利用，两个漏洞被正式列入其「已知被利用漏洞」（KEV）目录。两个漏洞在 CVSS 评分体系中均为 9.2 分，均可在受影响部署上实现未认证远程代码执行。
两个漏洞的编号与成因分别是：
- CVE-2026-109618：内存耗尽型破坏漏洞，可导致未认证远程代码执行。
- CVE-2026-109619：内部请求状态残留漏洞，同样可导致未认证远程代码执行。
在进入 KEV 目录之前，Perplexity 检测与响应负责人 Adel Karimi 已于 2026 年 10 月 24 日确认，针对蜜罐系统的远程代码执行取得了成功实例。
Karimi 表示：「这已经是确认的 RCE，带有可用的内存泄露，而不只是一次崩溃后跟着一个可疑进程。」他进一步说明：「响应返回了 800 KiB 的解码 cookie 转储，而利用该转储、结合公开利用代码偏移量推导出的一个函数地址，出现在随后的执行载荷中。」
Karimi 同时给出了适用边界：「证据展示的是这条利用链在刻意设置的有利单 worker mod_php 配置上的表现；它不是对其他 worker 数量、PHP 构建版本或应用程序上利用可靠性的测量。」
相关缺陷已在 2026 年 10 月 21 日发布的 PHP 版本 8.5.12、8.4.27、8.3.36 和 8.2.35 中得到处理。联邦机构须在 2026 年 10 月 29 日之前完成必要修复。
PHP 全称为 PHP: Hypertext Preprocessor，是一种服务端脚本语言，互联网上约 70% 的网站都在使用。根据 Censys 分享的估算数据，仍有超过 3251 万个 PHP 服务运行着受影响的版本。
漏洞的严重程度已促使全球大量软件与安全厂商、政府机构发布公告，名单包括 ABB、Arista Networks、Belden、Broadcom、Canon、Citrix、Dell、Dormakaba、F5、海康威视、惠普、HPE、日立能源、HMS Networks、华为、IBM、Ivanti、江森自控、Mitel、Moxa、NETGEAR、Okta、QNAP、罗克韦尔自动化、Ruckus Wireless、Salesforce、施耐德电气、西门子、SonicWall、Splunk、群晖、Veeam、Wibu-Systems 以及 WordPress。
截至 2026 年 10 月 26 日，PHP 基金会还发布了 Windows 构建版本 8.5.12-1、8.4.27-1、8.3.36-1 和 8.2.35-1，用于处理 CVE-2026-111497——Brotli 解码器库中的一个越界写入漏洞，同样可能造成权限提升和未认证远程代码执行。
该漏洞也被称为 Broccoli2Shell、HTTP2Shell 和 Node2Shell，影响 Brotli 版本 1.0.3 至 1.0.9、1.1.0 以及 1.2.0，已在 1.0.10、1.1.1 和 1.2.1 中完成修补，同时涉及包含该 C 库的其他项目，包括 Node.js、Bun、Envoy Proxy、Istio、.NET 和 Python。
PHP 基金会说明：「在 PHP 的 Windows 构建中，当启用自动 HTTP 响应解压缩时，可以通过 cURL 扩展触达存在漏洞的解码器。」并补充：「该功能在 cURL 中默认关闭，但应用程序和 HTTP 客户端库可以将其开启。」
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
