PHP2Shell是CVE-2026-109618与CVE-2026-109619两个PHP核心高危漏洞的统称，CVSS v4.0评分均为9.2，无需认证即可远程执行代码；漏洞源于OOM时内存初始化不完整却按全量清理，导致内存损坏或释放后使用，影响PHP 5.4至8.5所有版本及全球约七成网站。
PHP2Shell 是一组存在于 PHP 核心引擎内部的高危内存安全漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，CVSS 评分高达 9.2，属于最高等级的远程代码执行（RCE）漏洞。
本质是两处“记错的内存账”
PHP 用 C 语言编写，内存靠手动管理。这两个漏洞都源于一种经典错误：OOM（内存耗尽）发生时，程序提前退出，但部分初始化已完成、部分未完成，而后续清理流程却按“全部完成”来处理——结果就是访问了从未初始化或早已释放的内存。
- CVE-2026-109618 出现在哈希表插入过程中：计数器先加 1，但 key 分配失败后未回滚，销毁时误析构无效 Bucket，导致可控内存覆写
- CVE-2026-109619 出现在 Session 上传进度功能中：请求中途 OOM 后，进程保留了指向已释放内存的悬垂指针，下一次请求可触发释放后使用（Use-After-Free）
攻击门槛极低，危害极其严重
攻击者无需登录、无需用户交互，仅需发送一条特制的 multipart POST 请求（例如含大量嵌套字段、空文件控件或伪造 Session ID），就可能触发漏洞链，达成以下后果：
- 以 Web 工作进程身份执行任意系统命令
- 读取服务器内存中的密码、API 密钥、JWT 令牌等敏感数据
- 植入后门、加密勒索、横向渗透内网
- 整台服务器完全失陷
影响范围覆盖几乎所有 PHP 网站
漏洞位于 PHP 运行时本身，与业务代码无关。只要运行受影响版本，无论是否使用 WordPress、Drupal 或只有一行 echo "Hello World";，均存在风险。
立即学习“PHP免费学习笔记（深入）”；
- 影响 PHP 5.4 及之后所有版本（含 PHP 8.2–8.5）
- 主流 CMS（WordPress、Joomla、Drupal）、框架（Laravel）、托管面板（cPanel、Plesk）全部波及
- 全球约 70%–75% 的网站依赖 PHP，实际风险面极为广泛
AI 加速了漏洞挖掘与武器化
这组漏洞原本因利用路径复杂、长期停留在理论阶段。但借助 AI 大模型对 C 源码和内存行为的深度分析能力，研究者在一周内完成从发现到 PoC 构建，标志着 AI 正式成为漏洞挖掘的关键力量——也意味着类似基础组件级漏洞的爆发频率将显著上升。
