核心摘要
10月21日，腾讯云安全中心监测到PHP官方披露了两个远程代码执行漏洞，编号为CVE-2026-109618和CVE-2026-109619，并统称为「php2shell」。据公告，未经身份验证的远程攻击者可通过发送特制的multipart POST请求，触发目标服务器上的内存破坏，进而实现远程代码执行，最终可能完全控制服务器。该漏洞威胁等级较高，需要引起相关运维人员的高度重视。
正文解读
此次漏洞的核心问题在于PHP对multipart请求体的处理流程存在缺陷，攻击者无需任何账号权限即可发起攻击，降低了利用门槛。由于PHP是当前使用最广泛的服务器端脚本语言之一，大量网站、应用和CMS系统均基于其构建，因此受影响范围可能相当广泛。一旦漏洞被批量利用，攻击者可植入后门、窃取数据或发起勒索攻击，对业务连续性构成严重威胁。
腾讯云安全中心已建议用户及时开展安全自查，确认自身PHP版本是否处于受影响范围。若确认受影响，应尽快升级至官方发布的安全修复版本，避免因疏忽而遭受外部攻击者入侵。同时，建议运维人员检查服务器日志中是否存在异常的multipart POST请求，并评估已有的Web应用防火墙（WAF）规则是否能够有效拦截此类攻击流量。
原创文章，作者：admin，如若转载，请注明出处：https://www.23btc.com/%e8%85%be%e8%ae%af%e4%ba%91%e9%a2%84%e8%ad%a6%ef%bc%9aphp%e7%8e%b0%e9%ab%98%e5%8d%b1%e8%bf%9c%e7%a8%8b%e4%bb%a3%e7%a0%81%e6%89%a7%e8%a1%8c%e6%bc%8f%e6%b4%9e.htm
