PHP2Shell 是 PHP 引擎本身的两个严重远程代码执行漏洞，在 2026 年 10 月 21 日的紧急版本中修复，PHP 团队对两者都给了 CVSS v4.0 的 9.2 分。修复版本是 PHP 8.2.35、8.3.36、8.4.27 与 8.5.12，而 PHP 7.4、8.0、8.1 只拿到源码补丁。漏洞位于内存与错误处理路径，几乎每个请求都会碰到；在 Apache 加 mod_php 的部署里，第一个漏洞可以在任何应用代码之前执行，登录页拦不住它。文章还原了更值得注意的部分：PHP 核心开发者在 2024 年的一次审计里就看到征兆，两个修复方案各有取舍，靠共识决策的安全团队迟迟选不出来，PHP 基金会称之为结构性失败；漏洞信息在补丁前泄露，亚马逊在 10 月 17 日就记录到一次利用尝试，而 CISA 在发布时尚未观察到在野利用，多名分析人士称许多公开利用脚本其实跑不通。作者的结论是：照样尽快打补丁。