非 php.net · 非 NVD · 非 CISA

PHP 漏洞追踪

关于 PHP 安全漏洞的非官方简报

English简体中文日本語Deutsch

安全警报

PHP2Shell:请升级 PHP。这是唯一完整的修复。

CVE-2026-109618 与 CVE-2026-109619 是 PHP 本体中的严重漏洞,未经身份验证即可远程执行代码。PHP 项目已于 2026 年 10 月 21 日为仍受支持的 8.2 至 8.5 分支发布修复。升级后必须重启 PHP。防火墙不能替代升级。

修复步骤

隐私

隐私说明:本站会保存哪些信息

这些页面是静态文件。没有账户,没有评论框,也没有第一方分析产品。唯一可选的第三方脚本是 Google AdSense;只有配置了发布商 ID 且你接受提示条之后,它才会加载。

最近更新

托管

本站打算由 Cloudflare Worker 以静态资源方式提供,域名为 phpvulnerabilities.app。Cloudflare 会按照 Cloudflare 隐私政策处理连接数据,例如 IP 地址和请求头。我们不为编辑目的另建请求日志。

版本检查器

受影响版本页面上的工具把你输入的数字与已公布的修复版本比较。脚本不会传送这个数字。它只在你离开页面前留在浏览器里。

当站点配置中的 ADSENSE_CLIENT 为空时(这是默认值),广告位什么都不渲染。设置了发布商 ID 和至少一个广告位 ID 之后,你可以在提示条上选择接受,站点才会请求 Google AdSense。AdSense 可能设置 Cookie,并使用个人数据来个性化和衡量广告。Google 在其合作网站政策中描述这种处理。

拒绝或忽略提示条,就不会加入 AdSense 脚本。选择保存在本源的 localStorage 键 pva-consent 中。这个键不是广告 Cookie。清除 phpvulnerabilities.app 的站点数据即可删除它。

当站点配置中的 ADSTERRA_ENABLED 为 true 时,每个内容页还会加载一个 Adsterra 原生广告位。它是来自 bauval.org 的异步脚本,标为 Advertisement,并不是 AdSense 单元。在设置发布商 ID 之前,AdSense 广告位保持关闭。Adsterra 脚本不受 AdSense 同意条阻止。经 Google 认证的 CMP 仍未接入。

联系邮件

如果你写信到 contact@phpvulnerabilities.app,邮件会由运营该邮箱的人按普通通信处理。请不要发送密码、利用代码或第三方的数据。概览页和联系页上的邮箱栏是占位:浏览器不会把它提交出去,这个静态网站也没有地方保存该地址。

儿童

本站为系统管理员和开发者而写。它不面向儿童,我们也不会明知地收集他们的个人信息。

来源

出站链接将离开本站。本站不托管利用代码。

  1. How Google uses information from sites or apps that use our services — Google
  2. Privacy policy — Cloudflare