CISA限期29日前修复PHP2Shell高危漏洞

IT时代网10月27日消息，美国网络安全和基础设施安全局已将两项PHP2Shell严重安全漏洞列入已遭实际利用漏洞目录，确认相关漏洞已被攻击者用于实际攻击，并要求美国联邦民事行政部门机构在当地时间10月29日前完成修复，同时检查相关系统是否已遭入侵。

此次涉及的漏洞编号为CVE-2026-109618和CVE-2026-109619，均于10月公开披露，可能允许未经身份验证的远程攻击者在受影响的服务器上执行任意代码，风险评级均为CVSS 4.0体系下的9.2分。已有安全研究人员通过蜜罐系统捕获了成功远程执行代码的证据，相关攻击针对运行Apache mod_php的PHP服务器，表明攻击者已能在特定环境下利用漏洞执行系统命令。

PHP官方已于10月21日发布安全更新，修复版本包括PHP 8.5.12、8.4.27、8.3.36和8.2.35。对于暂时无法更新的系统，官方建议将相关PHP服务下线直至完成修复，或部署Web应用防火墙等临时防护措施。PHP高危漏洞上周曾导致全球大量网站紧急停服。

注：本文配图由AI生成。本文综合自IT之家等，文中包含AI辅助创作的内容。

编辑：刘宁