CYBERWAR

调查

Wiz 披露 PHP 核心引擎 CVE-2026-109618/109619（CVSS 9.2），未认证远程代码执行与内存泄露

Wiz 原文、PHP Foundation 原文、Google Cloud 原文 · 2026年10月21日

Wiz Research 于 10 月 21 日发布 PHP2Shell 调查，称在核心 PHP 引擎中发现与内存安全相关的多处问题，归入 CVE-2026-109618 与 CVE-2026-109619，官方 CVSS 均为 9.2；影响约自 PHP 5.4 至 8.5.11，可在未认证条件下导致远程代码执行或进程内存泄露，且漏洞位于引擎层、不依赖上层应用自身缺陷。PHP 项目同日发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版，并明确不对已结束支持的 8.1 及更早版本回补。Google Cloud 等同日发布客户处置指引，称云平台本身不受影响，但客户自管 PHP 运行时需尽快升级并重新部署。

跟你的关系对外暴露或大量运行 PHP（含 WordPress/Drupal 等）的站点与托管方，应按厂商与云厂商指引核对运行时版本是否已升至受支持修复线，并把未打补丁的自建镜像与 EOL 运行时当作优先处置对象。

状态

已公开

行业

信息技术、电子商务、专业服务

可信度

高

可信度标为高：已经打开的独立调查报告不止一份。

查看全部 · 返回首页