2026 年 10 月 21 日，#PHP 8.5.12 等版本紧急修复两个 CVSS 9.2 的未认证 RCE。本文从当晚半个互联网的停服现场说起，拆解 CVE-2026-109618 / 109619 的三条利用路径、可复用攻击原语，以及 9bie 在官方默认配置上跑通的纯 HTTP 武器化链，兼谈修复与检测。
2026-10-22
