代码实验室

从一句“Trust me, bro”到全球拔网线：复盘 PHP2Shell 惊魂 48 小时，以及那笔改掉一万行代码的 php-src 提交

2026年10月20日，原本处于保密期的两个 PHP 核心远程代码执行漏洞（CVE-2026-109618 / CVE-2026-109619）因一连串离谱乌龙提前引爆，迫使全球无数网站紧急停服下线。本文完整还原这场闹剧的时间线与五大乌龙，结合 php/php-src 的万行源码提交（Commit 31c0ea7 / 3584a98），用大白话聊透它到底是怎么打穿服务器的，以及 PHP 官方究竟改了什么。

AFeng