PHP官方于2026年10月21日发布紧急安全更新，修复两个CVSSv4.09.2分的预认证远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619），统称php2shell，影响PHP8.2至8.5及更早版本。攻击者无需认证，通过构造multipart请求即可在应用代码执行前触发漏洞，Apache+mod\\_php场景风险最高。官方已发布修复版本8.2.35/8.3.36/8.4.27/8.5.12，建议24小时内完成升级并重启所有PHPworker。无法立即升级的需按CV

据华盛顿邮报报道，五角大楼正建立深层掩护间谍项目，以商人等身份潜入中国开展经济战，重点针对人工智能、生物技术及先进半导体领域的中国企业。CIA副局长公开表示扩大对华间谍活动，并讨论将经济情报分享给美国企业以赋予竞争优势。该计划由资深CIA人员监督，但可能因国会审查而调整归属。

PHP官方修复两个可致未认证远程代码执行的关键漏洞（CVE-2026-109618与CVE-2026-109619），影响所有PHP安装，mod\\_php风险最高。利用条件苛刻，需内存地址泄露与精确布局调整，非即插即用。建议立即升级至8.5.12等修复版本，暂无法升级可采取缓解措施，并排查PaloAlto设备及WAF防护状态。

php官方紧急修复两个CVSSv4.09.2严重远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619），影响php5.4至8.5.11，无需认证即可远程利用，已出现野利用尝试。官方建议立即升级至修复版本，临时缓解可关闭session.upload\\_progress，并排查日志。