两个严重 PHP 漏洞提前泄露，四个分支已包含修复

PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，修复两个被合称为 php2shell 的远程代码执行漏洞，评分均为 9.2。漏洞分别位于内存管理和错误处理路径：前者将内存上限中断转化为代码执行，后者使 worker 残留状态被后续请求复用。CVE 编号在计划发布前两天（10 月 20 日 15:00 UTC）提前流出且评分误标为 10.0，PHP 因此将发布提前一天。发行版软件包按各自节奏跟进。

AI推荐理由 内容涉及 PHP 两个远程代码执行漏洞（php2shell，评分 9.2）的修复版本与提前泄露时间线，对后端开发者和运维有直接升级价值；但来源为 DEV Community 个人博客，非 PHP 官方公告，漏洞细节与 CVE 编号需以官方通告核实，且摘要中版本号与日期（2026 年）需谨慎对待。