PHP2Shell是一组近期在PHP核心中修复的严重漏洞，严重程度高达CVSS 9.2。未经身份验证的攻击者可借此执行代码，或泄露敏感的进程内存。PHP为约70%的网站提供支持，包括WordPress、Drupal和维基百科的MediaWiki等平台。
Wiz Research的研究人员Sagi Tzadik、Shir Tamari、Nir Ohfeld和Tomer Schwartz与Open AI Codex Security（Amy Burnett）及其他人员合作，进行了负责任的漏洞披露。这些漏洞存在于PHP本身，因此即使网站应用代码安全，也可能受到影响。在受影响的PHP版本上运行的一个简单“Hello World”应用就足以暴露风险。运行最新已修补PHP版本的网站则受到保护。PHP团队迅速响应，并与研究人员密切合作，推出了全面的修复方案。
这些漏洞分为两类，编号为CVE-2026-109618和CVE-2026-109619。第一类涉及内存耗尽导致的损坏，可能使攻击者在无需身份验证的情况下，以PHP Web工作进程的身份执行代码。第二类涉及跨请求的陈旧全局状态，可能引发释放后重用漏洞，从而泄露工作进程内存或执行代码。研究人员在测试时使用WordPress、Drupal和Joomla的最新容器镜像，演示了针对这些系统的身份验证前远程代码执行，并展示了与应用无关的内存泄露。
攻击者可能因此控制服务器、访问敏感数据，或读取其他请求中的密码、身份验证令牌、API密钥和证书。内存泄露还可能在无需先实现代码执行的情况下窃取数据，使此类活动更难被发现。唯一完整的修复方法是在每个运行时环境中安装已修复的PHP版本，并重启Apache、PHP-FPM以及所有长期运行的PHP工作进程。更新应用本身并不会更新其底层的PHP运行时。
来源: Hacker News · 由HeadlinesBriefing整理摘要