2026年10月21日13:34 UTC，GitHub Security Advisories发布两个漏洞的安全公告，watchTowr的FAQ页面确认CVE-2026-109618和CVE-2026-109619合称“PHP2Shell”。
PHP2Shell是CVE-2026-109618与CVE-2026-109619的统称，二者均为PHP核心中的严重漏洞，攻击者无需身份验证即可实现远程代码执行。按CVSS v4.0，两项漏洞的评分均为9.2分，属于严重级别；CNVD对该漏洞的综合评级为“高危”。
2026年10月21日14:00 UTC，PHP发布8.5.12、8.4.27、8.3.36和8.2.35四个修复版本。
针对PHP8.2之前的版本，可利用社区补丁修复