PHP被披露存在严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，影响PHP 5及之后几乎所有版本，被称为php2shell。漏洞位于multipart文件上传与session上传进度处理逻辑，在应用代码之前执行，WordPress等站点均受影响。官方已提前发布补丁，但8.1及更早版本不再维护。缓解措施为关闭session.upload_progress或在Web服务器层拦截multipart请求，最终仍需升级PHP并排查入侵痕迹。