10 月 20 日，PHP 官方预告发布紧急补丁，修复两枚 CVSS v4.0 评分 9.2 的高危远程代码执行漏洞（CVE‑2026‑109618、CVE‑2026‑109619，俗称 php2shell）。 该漏洞由session.upload_progress堆释放重用缺陷导致，默认开启，无需业务代码配合即可触发，攻击者可远程执行代码、窃取数据、横向渗透，校内所有 PHP 类网站正在进行排查中、业务平台均存在风险，PHP8.1 及更早停服版本风险更高。

附件为河南省教育信息安全监测中心发布的关于PHP Core 存在远程代码执行漏洞的风险提示

文/高建斌

审核/刘新军