漏洞类型
最直接的失陷路径：远程、无需认证、能直接执行代码的漏洞，以及它们的利用条件与在野状态。
173 条精选近 30 天 154 条共收录 515 条
OX Security 发布 php2shell-check 检测脚本，用于排查服务器是否受 PHP2Shell 影响，即 PHP 中两个可让攻击者通过单次 Web 请求接管网站的问题 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：检查脚本把版本、运行状态与攻击痕迹分开报告，并给出对应 PHP 分支的修复版本，便于运维自查。
作者发布只读脚本 is-my-php-pwned，用于排查 PHP 项目披露的 CVE-2026-109618 与 CVE-2026-109619（合称 php2shell，CVSS 9.2）影响。
为什么值得看：脚本只读排查 PHP 版本与失陷痕迹，并给出 php2shell 两个漏洞的修复版本与无补丁分支，便于运维自查。
研究者公开 php2shell-poc，利用 PHP 中 Serializable::unserialize() 未加 serialize_lock 导致的 var_hash 释放后重用（UAF）实现 RCE，对应 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：公开的利用套件覆盖 PHP 7.3 至 8.5 多个版本，并给出 session_start() 解码路径这一无需 unserialize() 入口的触发方式。
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。
为什么值得看：PHP 同时修复两个可导致免认证 RCE 的缺陷，通告给出了受影响版本区间、修复版本与临时缓解配置。
Ubuntu 发布 USN-8948-2，将 USN-8948-1 中针对 Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 和 26.10 的 PHP 修复扩展到 Ubuntu 14.04 LTS、16.04 LTS、18.04 LTS 和 20.04 LTS。
为什么值得看：公告把此前只覆盖新版本的安全更新扩展到 14.04 至 20.04 LTS，仍在使用旧版 PHP 的运维可据此核对补丁版本。
PHP 开发者于 2026 年 10 月 21 日发布紧急安全更新，修复两个可让攻击者在未登录情况下在 Web 服务器上执行代码的漏洞 CVE-2026-109618 和 CVE-2026-109619，两者在 CVSS v4.0 下均为 9.2。
为什么值得看：通告列出各 PHP 分支的修复版本与临时缓解措施，运维可据此确认部署是否受影响并安排升级。
Unit 42 通报 PHP 存在两个远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，CVSS 4.0 评分均为 9.2，并称已看到这两个漏洞的 PoC。
为什么值得看：Unit 42 给出两个 PHP RCE 的成因与暴露面数据，并提到已有 PoC 与政府站点下线，可据此评估自身 PHP 资产风险。
Ubuntu 发布 USN-8948-1，指出 PHP 存在两个可被远程攻击者利用执行任意代码的问题，涉及 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：通告列出两个可致远程代码执行的 PHP 问题及 Ubuntu 各发行版的具体修复包版本，便于对照升级。
作者发布 PHP 扩展 php-rfc1867-guard，用于缓解 CVE-2026-109618 与 CVE-2026-109619（php2shell）这两个 CVSS v4 评分 9.2 的免认证 RCE 漏洞。
为什么值得看：针对尚无官方修复的 PHP 5.4 至 8.1，作者给出可编译安装的扩展来摘除被利用的上传进度回调。
有人公开了 WP2Shell 脚本，把 WordPress 的 CVE-2026-63030 路由混淆与 CVE-2026-60137 SQL 注入串联，实现免认证创建管理员并通过主题编辑器上传 webshell。
为什么值得看：公开脚本把 WordPress 两个漏洞串成免认证 RCE 链，并给出探测、拖库、建管理员到上传 webshell 的完整步骤与 IoC。
针对 PHP 计划修复的 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2，免认证 RCE），该文档给出在官方补丁发布前关闭 session.upload_progress 的临时缓解步骤。
为什么值得看：材料在官方补丁发布前给出针对 PHP 多版本与面板环境的临时缓解操作，可作应急配置参考。
SANS ISC 将 infoCon 调至 YELLOW，原因是 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 影响面广、CVSS 9.4，且补丁发布前已有早期 PoC 利用。
为什么值得看：PHP 核心漏洞影响所有默认安装，补丁发布前已有 PoC 与 Cloudflare 观测到的利用，站点可先关闭 session.upload_progress.enabled 缓解。
ORBITRON 发布 php2shell 响应工具包，针对 PHP 核心两个远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，PHP 安全团队对两者均评为 CVSS v4.0 9.2，官方通告计划于 2026-10-21 14:00 UTC 发布。
为什么值得看：在官方通告发布前，这套只读清点脚本与行为检测规则可帮运维先摸清 PHP 暴露面并布控。
php2shell-detect 发布一套只读离线检测工具，用于识别针对 PHP 的 session.upload_progress 堆 UAF 漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS v4.0 均为 9.2，影响 PHP 5.4 至 8.5）的利用尝试。
为什么值得看：公开 PoC 与机制分析已流传，这套离线检测工具按请求形态识别利用尝试，可补上仅靠 UA 特征漏掉的场景。
GitHub 项目 cybertechajju/CVE-2026-23869-Exploit 公开了针对 React Server Components Flight 协议反序列化 DoS 漏洞 CVE-2026-23869 的利用工具，包含 poc.py、Nuclei 检测模板 CVE-2026-23869.yaml 与 Server Action ID 提取脚本。
为什么值得看：公开的利用工具包含自动提取 Server Action ID 与 Nuclei 模板，可用于自查 Next.js 部署是否受该 DoS 影响。
php2shell-check 开源了一组 Bash 脚本，用于检查并修复 PHP 核心两个 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS v4.0 9.2）的影响。
为什么值得看：脚本把 PHP 运行时、容器与远程主机的排查和修复串成一套可执行流程，适合在补丁窗口期做资产清点。
Sploitus 收录了针对 BeyondTrust Remote Support ≤ 26.2.3 的认证绕过漏洞 CVE-2026-102764 的利用脚本，CVSS v3.1 评分 9.8，CWE-290，文中标注为 Active Exploitation（CISA BOD 26-04）。
为什么值得看：公开的利用脚本覆盖文件读写、命令执行与凭据导出，可用于自查 BeyondTrust Remote Support 是否暴露在同类伪造消息攻击下。
PHP 安全团队将于 2026 年 10 月 21 日 14:00 UTC 紧急发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，二者均被评为 CVSSv4.0 9.2，公开报道称均为远程代码执行。
为什么值得看：汇总了补丁发布前各方的版本推测、暴露面估算与 Cloudflare 的临时 WAF 规则，便于在官方通告前先评估自身风险。
PHP 发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复可导致免认证远程代码执行的 CVE-2026-109618 与 CVE-2026-109619，PHP 安全团队将两者评为 Critical（CVSS v4.0 9.2）。
为什么值得看：材料给出两个 PHP 解释器漏洞的修复版本、在野利用时间线与临时缓解措施，可据此排查受影响部署。
研究者公开 CVE-2025-0282 的 PoC，该漏洞是影响 Ivanti Connect Secure、Ivanti Policy Secure 和 Ivanti Neurons for ZTA 网关的远程无需认证栈溢出。
为什么值得看：该 PoC 针对 Ivanti Connect Secure 22.7r2.4 构建 ROP 链，并给出实际运行耗时与成功判定方式，可供复现参考。