两项原本处于严格保密协调期（Embargo）、原定于周四晚间才公开的 PHP 核心远程代码执行（RCE）零日漏洞提前走光。 
 [image] 
伴随着爆料流出的，还有一款由 Calif.IO打造、名为 PHP2Shell 的自动化利用工具截图：对 PHP 5.4.0 以来的所有默认配置版本有效。 
 [img_cc34a46c61f67483] 

[+] OK CHAIN COMPLETE :: elapsed=15.1s 

15.1 秒，是攻击者从发送第一个恶意数据包，到在远端 PHP 服务器上完成内存地址泄露、绕过系统 ASLR 防护并直接拿到命令行控制权（Shell）所需的全部时间。 
PHP 官方安全团队随即启动最高级别应急响应，将补丁发布时间紧急提前至北京时间 2026年10月21日 22:00（14:00 UTC）。两项漏洞的官方编号锁定为 CVE-2026-109618 ...