PHP2Shell是CVE-2026-109618与CVE-2026-109619的统称，为PHP核心层未认证远程代码执行漏洞，CVSS v4.0评分均为9.2，影响PHP 5.4至8.5所有分支中未达安全版本（如8.2.35、8.3.36等）的安装，且无法通过WAF或业务层防护拦截。
PHP2Shell 漏洞（CVE-2026-109618 / CVE-2026-109619）影响范围极广，核心问题是出在 PHP 解释器自身，而非上层框架或业务代码。只要运行的是受影响版本的 PHP，无论用 WordPress、Laravel 还是自研系统，都面临风险。
明确受影响的当前支持版本
根据 PHP 官方及腾讯云等厂商通告，以下仍在维护周期内的 PHP 版本中，低于指定安全补丁号的均存在漏洞：
- PHP 8.2：低于 8.2.35
- PHP 8.3：低于 8.3.36
- PHP 8.4：低于 8.4.27
- PHP 8.5：低于 8.5.12
已停止支持但实际仍被广泛使用的版本
PHP 8.1 及更早版本（包括 7.4、7.3、7.2 等）官方已终止更新，不再发布安全补丁。但这些版本仍在大量生产环境运行，且研究确认它们同样存在该漏洞：
- PHP 7.4、7.3、7.2、7.1、7.0
- PHP 5.6、5.5、5.4（自 2004 年 PHP 5 起即被报告受影响）
这意味着——只要你的服务器上跑的是 PHP，且未升级到上述对应安全版本，就处于风险之中。
立即学习“PHP免费学习笔记（深入）”；
不受影响的情况
以下情况不在此漏洞影响范围内：
- 系统未部署 PHP（例如使用 ASP.NET、Node.js、Java 或 Python 技术栈）
- PHP 仅用于 CLI 模式且完全不处理任何 HTTP 请求（极少见）
- 已确认升级至各分支的安全版本（如 8.2.35+、8.3.36+ 等）
如何快速确认你是否在风险中
登录服务器执行命令：
php -v
对照上面列出的安全版本号判断。若显示 PHP 8.2.34 或 8.3.35，就需立即升级；若为 7.4.33 或更低，已无官方补丁，必须做网络隔离或迁移。
