⚠⚠ PHP 核心 RCE （ CVE-2026-109618 / CVE-2026-109619 ，CVSS 9.2 ） PHP 解释器核心层 未公开细节，mod_php 与 PHP-FPM 两种部署都被打通 → 命令回显（ www-data ），可读库配置、写 WebShell ，站点等于沦陷 PoC：暂无公开 PoC （演示视频「 PHP2Shell 」已流出） 演示覆盖 WordPress