据开源中国报道，安全公司 watchTowr 的 FAQ 页面确认，CVE-2026-109618 与 CVE-2026-109619 两个漏洞合称「PHP2Shell」，且已在野被利用。报道称，watchTowr 是通过其全球分布的 Attacker Eye 蜜罐网络观察到在野利用的，并称这是首个信源确认该漏洞从「理论风险」变为「现实威胁」。报道未给出独立的测量数据、攻击目标或利用规模，文中还提到该 PHP 漏洞曾惊动日本首相。