PHP 那个惊动日本首相的漏洞，有了代号和更坏的消息。安全公司 watchTowr 的 FAQ 页面确认：CVE-2026-109618 和 CVE-2026-109619 合称「PHP2Shell」，且已在野被利用——这是第一次有信源确认这个漏洞从「理论风险」变成了「现实威胁」。

watchTowr 是通过自己的蜜罐网络（Attacker Eye，全球分布）观察到在野利用的，时间点是 10 月 21 日——正是 PHP 紧急补丁发布的日子。

FAQ 里的关键细节：

影响范围：PHP 5、7、8 整个版本全部受影响（PHP 6 从未正式发布所以不在列）。这意味着互联网上几乎每一台跑 PHP 的服务器，从老旧的 5.x 到最新的 8.x，都在攻击范围内。

利用方式：未认证攻击者可以执行任意代码、完全控制服务器。配合「影响全版本」这一点，一旦有可用的 exploit 扩散，就是 Log4Shell 级别的灾难场景。

修复状态：FAQ 发布时官方还没有正式公告和修复版本（这是 watchTowr 在补丁发布前的 FAQ，日期是 10 月 21 日）。页面也还原了泄露经过——社交媒体上有人称公告定于 10 月 22 日 18:00 CEST，但当时只是「信任消息源」的转述。

把这条和之前的线索拼起来，PHP2Shell 的时间线更完整了：10 月 20 日 CVE ID 泄露 → 10 月 21 日补丁发布、日本首相呼吁、在野利用开始 → 10 月 22 日 watchTowr 确认「PHP2Shell」代号和在野利用。对还在跑 PHP 5/7 的服务器来说，最坏的情况已经发生——漏洞在野被利用，而 EOL 版本没有官方补丁。如果之前还在观望「是不是没那么严重」，现在没有观望的余地了。

参考来源：

• watchTowr：PHP Remote Code Execution FAQ（PHP2Shell）