2026最爆php漏洞，不用登录，一个请求，服务器就被黑掉了，php2shell 有多可怕？

PHP 本体出了两个 RCE，CVSS 9.2，不用登录就能打 CVE-2026-109618 / CVE-2026-109619，社区代号 php2shell。 补丁北京时间 10 月 21 日 22:00 发布，Sansec 预计发布后 15 分钟内就开始大规模扫描。 全球 69.3% 的网站在跑 PHP。Shodan 上能直接看到版本号的 PHP 主机 190 万台起步。 其中 88.4 万台报的是 8.1 或更早，官方正式发行版不会有补丁了。 8.2 和 8.4 今年 12 月 31 日也到期。