近日PHP官方紧急披露两个高危远程代码执行漏洞，漏洞编号为CVE-2026-109618、CVE-2026-109619，业内统称PHP2Shell漏洞。攻击者无需登录、无需网站权限，仅发送特制POST上传请求，就能执行任意PHP代码。一旦被入侵，黑客可上传木马、窃取网站数据、篡改网页内容、植入挖矿程序，甚至拿下整台服务器控制权，横向攻击服务器内其他网站。
该漏洞依托PHP默认开启的session.upload_progress上传进度功能实现，目前全网扫描器已批量探测，使用老旧PHP版本的站点已经成为首要攻击目标。
漏洞修复方案（帝国CMS站长专用）
1、帝国CMS旧版用户尽快升级到8.0，更换PHP8.2环境；
2、PHP8.2+版本直接升级到最新安全版本；
3、暂时无法升级的站点，关闭session.upload_progress功能，闲置站点直接暂停访问。
