PHP2Shell 自查脚本发布，检测 PHP 是否受 CVE-2026-109618 与 CVE-2026-109619 影响
作者发布免费脚本 check.sh，用于检测服务器上的 PHP 是否受 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619）影响，这两个漏洞可让攻击者在无需密码的情况下接管服务器。
为什么值得看：脚本可逐项列出服务器上的 PHP 部署并给出 PASS、VULNERABLE 等结论，便于运维自查是否受 PHP2Shell 影响。
#WordPress
Sploitus 利用聚合精选AI 评分7878 Sploitus 利用聚合精选AI 评分7272 Balbooa Forms for Joomla 两个免认证漏洞 CVE-2026-67364 与 CVE-2026-67363 的 PoC 与检测模板公开
研究者 Lulztigre 公开 Balbooa Forms（com_baforms）Joomla 组件的 PoC 与检测模板，涉及两个免认证漏洞，已在 2.4.3.2 修复。
为什么值得看：公开的 Python PoC 与 Nuclei 模板覆盖两个漏洞，并说明检测模式不写文件、不触发真实扣款，便于在授权范围内验证。
Sploitus 利用聚合精选AI 评分8888 WordPress CVE-2026-63030 与 CVE-2026-60137 串联免认证 RCE 的 PoC 脚本公开
有人公开了 WP2Shell 脚本，把 WordPress 的 CVE-2026-63030 路由混淆与 CVE-2026-60137 SQL 注入串联，实现免认证创建管理员并通过主题编辑器上传 webshell。
为什么值得看：公开脚本把 WordPress 两个漏洞串成免认证 RCE 链，并给出探测、拖库、建管理员到上传 webshell 的完整步骤与 IoC。
Sploitus 利用聚合精选AI 评分7676 php2shell 公开 CVE-2026-109618 与 CVE-2026-109619 的可复现 HTTP PoC
php2shell 公开了针对 PHP 请求状态漏洞 CVE-2026-109618 与 CVE-2026-109619 的可复现 HTTP PoC，利用链可泄露 Zend MM 堆基址与已加载的 libphp 基址，并通过 zif_system 执行短命令。
为什么值得看：公开的复现链覆盖 WordPress、MediaWiki 与裸 PHP 三种环境，并列出二进制指纹与堆布局等前置条件，便于判断自身部署是否落在可复现范围内。
Sploitus 利用聚合精选AI 评分8080 公开 WordPress < 7.0.3 的 CVE-2026-64638 免认证 RCE 利用链
有人公开了针对 WordPress 7.0.3 之前版本的 CVE-2026-64638 利用工具，声称无需认证即可从 XSS 一路走到 RCE。
为什么值得看：公开的利用链把 XSS、Application Password 窃取与主题/插件编辑器写入串成免认证 RCE，并说明了各阶段依赖。
Nuclei 模板新增检测精选AI 评分6262 Nuclei 模板新增 The Events Calendar 免认证盲注检测 CVE-2026-49772
nuclei-templates 合并 PR #17428，新增针对 CVE-2026-49772 的检测模板，该漏洞是 The Events Calendar 的免认证盲 SQL 注入。模板提交者与合并信息来自该 PR 记录。
为什么值得看：Nuclei 模板库合并了针对 The Events Calendar 免认证盲注的检测模板，可用于自查站点是否暴露。
Exploit-DB 最新利用精选AI 评分7070 WordPress 7.0.2 路径穿越漏洞 CVE-2026-87902 的 PoC 公开
Exploit-DB 公开了 WordPress 7.0.2 路径穿越漏洞 CVE-2026-87902 的 PoC 脚本，该漏洞已在 7.1.2 和 7.0.6 修复，并向下回溯至 4.7.37。
为什么值得看：公开的 PoC 脚本与两阶段请求流程，展示了模板解析路径穿越如何借 PEAR 写入并执行 PHP 文件。
已经到底了