PHP 8.x 的 PHP2Shell 漏洞（CVE-2026-109618 和 CVE-2026-109619）是两个影响全部 8.x 分支的严重远程代码执行漏洞，源于内存管理缺陷，可绕过所有上层防护直接获取 shell 权限，需升级至指定修复版本并重启 PHP 进程。
PHP 8.x 的 PHP2Shell 漏洞（CVE-2026-109618 和 CVE-2026-109619）是两个位于 PHP 解释器核心层的严重远程代码执行漏洞，影响所有主流 PHP 8.x 分支（8.2.x、8.3.x、8.4.x、8.5.x），攻击者无需任何身份验证即可触发。
它们不是应用层或框架层的问题，而是深埋在内存管理机制中的底层缺陷，发生在请求解析阶段、业务代码运行之前，因此 WAF、防火墙规则、CMS 补丁等上层防护完全无效。
CVE-2026-109618：源于 OOM（内存耗尽）异常处理逻辑缺陷。当 PHP 在处理 multipart 请求时因 memory_limit 耗尽而中断，部分请求数据未完成初始化就被强制清理，清理程序误将无效内存当作有效结构处理，造成内存破坏，进而被利用执行任意代码。
CVE-2026-109619：属于 Use-After-Free 类型漏洞。PHP 内部维护的全局状态（如 session.upload_progress 相关指针）在某次请求内存释放后未被清空，后续请求复用该陈旧状态，访问已释放内存，导致可控的代码执行。
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
这两个漏洞共同构成“PHP2Shell”——意味着攻击者可绕过一切应用逻辑，直接在 PHP 进程中获得 shell 权限。官方 CVSS v4.0 评分均为 9.2，CISA 已确认在野利用，并列入 KEV（已知被利用漏洞）目录。
受影响的 8.x 版本包括：
- PHP 8.2.x
- PHP 8.3.x
- PHP 8.4.x
- PHP 8.5.x
修复方式唯一可靠的是升级到对应分支的修复版本，并重启全部 PHP 工作进程（如 php-fpm master、Apache mod_php 模块等），仅更新 CLI 版本无效。
