2026年10月21日，PHP披露两个可导致远程代码执行的高危漏洞。Azure DevOps服务端不使用PHP处理客户请求，但流水线、容器及应用中的PHP需自行修补：微软托管代理的预装PHP由微软更新；自托管代理、作业容器及部署应用中的PHP需用户通过包管理器或重建镜像更新，升级代理不会替换PHP。更新后需重启PHP进程并核验实际版本。

安全公司Aikido Security报告称，Brotli解码器漏洞影响范围已扩大至多种HTTP软件，被命名为HTTP2Shell。该漏洞源于特制压缩数据可触发异常区块切换，导致越界写入，可能造成崩溃、内存泄露甚至远程代码执行，但需解压不可信数据才会触发。Node.js、Bun、Python及Brotli上游均已发布修复版本，各软件包需分别更新。Imperva已在Node.js 24.22.0上验证代码执行，修复版24.22.1可阻止攻击。

PHP基金会披露CVE-2026-115560远程代码执行漏洞，暂不发布紧急修复版本。触发需特定配置组合：session.serialize_handler设为php_binary或php_serialize，运行时经ini_set()切换为php并调用session_start()，且启用上传进度功能，实际较少见。临时缓解方案为将session.upload_progress.enabled设为0，待常规修复版本发布后再恢复。

欧洲多国政府网站因PHP高危漏洞PHP2Shell（CVE-2026-109618、109619）下线。该漏洞影响PHP 5.4以来所有版本，可导致远程代码执行和敏感信息泄露，且位于运行时层，应用层防护无效。PHP社区与厂商已同步发布补丁，但约40%用户仍使用不受支持版本。AI加速漏洞发现，开源生态响应压力将持续加大。

亚马逊AWS蜜罐在PHP漏洞公开前4天（10月17日）就记录到针对PHP2Shell的攻击尝试，攻击者如何提前获知漏洞尚不清楚。补丁发布后攻击尝试激增，Cloudflare观测已超数百万次，可能涉及多个黑客团体。PHP基金会称暂无成功入侵案例，专家也认为利用条件苛刻。该漏洞为无需认证的远程代码执行漏洞，评分9.2，建议用户尽快升级至PHP 8.5.12、8.4.27、8.3.36或8.2.35版。

趋势科技ZDI团队误将多份未修复的Linux内核漏洞报告发送至公开邮件列表，提前曝光漏洞细节。报告涉及五项内核漏洞，其中SMB Direct整数下溢和KSMBD竞态条件可导致远程代码执行，评分均为9.0；另有本地提权、越界写入和信息泄露等问题。这些漏洞原计划2027年2月公开，修复尚未并入主线，此次提前泄露疑为操作失误，或对Linux生态构成潜在风险。

PHP基金会披露两个严重漏洞（CVE-2026-109618、CVE-2026-109619），可导致远程代码执行，影响大量网站。亚马逊威胁情报发现，补丁发布前数日已有攻击者利用蜜罐尝试“PHP2Shell”漏洞利用，10月21日补丁发布前数小时又出现多次攻击尝试，漏洞细节提前在论坛和社交媒体泄露。基金会称尚无成功入侵报告，但强调须尽快更新系统，并将改进流程以更快处理复杂漏洞。

PHP语言曝出两个严重漏洞（CVSS 9.2），影响约20年来几乎所有版本，全球约70%网站受波及，维基百科、WordPress、4chan、互联网档案馆及多国政府网站一度下线。漏洞可致远程代码执行，由AI辅助发现，补丁发布前已遭利用，Cloudflare称攻击达数百万次。部分老旧服务无法更新，只能永久关闭。

趋势科技ZDI项目将多个未修复的Linux内核漏洞误发至公开邮件列表LKML，而非私密报告。漏洞涉及SMB Direct、KSMBD、VMware图形驱动、NVMe等组件，其中两个SMB漏洞可致远程代码执行，CVSS评分达9.0。维护者Greg Kroah-Hartman对此提出质疑，ZDI尚未确认是否为操作失误，部分漏洞公开时仍未修复。

安全机构复盘PHP“php2shell”漏洞：该漏洞可追溯至PHP 5.4.0，潜伏约22年，成因是请求处理被内存溢出或致命错误打断后，残留状态被下一请求误用，可导致远程代码执行。WordPress、Drupal等应用受影响。PHP-FPM因崩溃即重启进程相对安全，mod_php风险更高。官方已于2026年10月21日发布补丁，建议立即升级，临时措施仅为权宜之计。

PHP语言曝出“PHP2Shell”高危漏洞，可导致未授权远程代码执行，迫使企业、医院、政府等关停网站。PHP已发布紧急修复，Cloudflare、Automattic等提供防护。事件也暴露AI大幅降低漏洞发现门槛：OpenAI称GPT模型协助发现漏洞，Chainguard提前发布补丁引发协调披露争议。维护者面临报告激增与修复人才短缺，业界呼吁由发现者和依赖方分担修复成本。

2026年10月，PHP被曝出两个CVSS 9.2分的远程代码执行漏洞（PHP2Shell），攻击者无需账号即可在应用代码运行前控制服务器。漏洞细节因提前泄露而被迫提前披露，欧洲多国政府网站及日本多个平台紧急下线维护。漏洞源于PHP内核内存管理缺陷，影响约69%的网站，但PHP 5.x/7.x等老版本无官方补丁。AI工具显著加速了漏洞验证，将原本数月的攻击代码开发缩短至一周，引发攻防窗口期缩短的担忧。

PHP被发现存在两个约20年的严重漏洞，可导致未授权远程代码执行，攻击者能完全控制服务器并窃取密码和数据库。约69%的网站使用PHP，4chan、维基百科等受影响，多国机构建议无法立即更新时下线系统。网站运营者应尽快升级PHP，8.1及更早版本无官方修复；托管用户应联系服务商确认补丁。