据 PHP 基金会公告，PHP 项目于 2026 年 10 月 21 日发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个统称为 PHP2Shell 的严重漏洞。在特定条件下，未经认证的攻击者可利用漏洞在服务器上执行代码。参与研究的 Wiz 表示，前沿 AI 模型帮助团队在数小时内为多个应用开发和调整出可用的漏洞利用程序。
Wiz 称，此次研究使用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol。利用这些漏洞需要串联多个缺陷，并针对不同部署的内存布局反复测试和调试；模型帮助研究人员分析失败原因、调整利用程序，减少了针对每个目标开展研究所需的专业工作。
据 Wiz 自述，团队已在测试时最新的 WordPress、Drupal 和 Joomla 容器镜像上演示未经认证的远程代码执行。这些应用只是演示目标，漏洞位于 PHP 本身，并不依赖应用代码存在缺陷。Wiz 称，过去十年发布的每个 PHP 版本至少受其中一个漏洞影响，受影响版本可追溯至 PHP 5.4，漏洞最高 CVSS 评分为 9.2。
PHP 基金会解释，CVE-2026-109618 源于内存不足时的处理问题：请求在特定时刻触及内存上限后，PHP 可能留下未完成初始化的数据，随后将其当作有效数据使用。在 Apache mod_php 上，未经认证的请求可在应用代码运行前触发问题，默认设置下已演示完整远程代码执行。
CVE-2026-109619 则涉及残留的全局状态：致命错误后，内部状态可能仍指向上一请求已释放的内存，后续请求再次使用它。基金会称，报告者已在运行 mod_php 的真实应用上演示远程代码执行。
基金会还承认，2024 年外部审计期间已发现内存不足问题的最初迹象，但修复因兼容性取舍、决策流程和资源不足反复停滞，属于「结构性失败」。2026 年 8 月 11 日，Calif 研究员 Ryan A 报告了无条件远程代码执行，OpenAI 同日独立报告相同根因；修复随后成为基金会安全团队的首要任务。
CISA 在公告中表示，截至发布时尚未观察到这些漏洞被利用，但敦促组织立即安装修复版本；无法立即更新，或仍使用 PHP 8.1 及更早不受支持版本的组织，应将相关系统下线，直至完成修补或升级。
据 CNBC 报道，荷兰和芬兰的政府机构已出于预防下线部分网站或公共网络服务。Wordfence 同时提醒，WordPress 自动更新不会应用 PHP 修复，站长需要确认由谁负责更新底层 PHP。
