全球70%的网站此刻都存在一个免登录的入口。这不是某个网站被黑了，危险出在支撑这些网站的底层语言上。10月21日，PHP官方紧急发布补丁，修复CVE-2026-109618、CVE-2026-109619两个漏洞，安全圈把它们合称为PHP2Shell。 这两项漏洞的CVSS危险评分均为9.2分，攻击者在特定条件下无需身份认证，就能在受影响服务器上远程执行代码。微博知乎
按W3Techs的统计，在能识别服务端语言的网站中，69.3%使用PHP，这就是"70%都危险"的由来。 真正能根治的只有一件事：把PHP升级到修复版本。但免费安全插件挡不住这个漏洞本身，能帮你做另外三件事：自查风险、挡住趁乱而来的自动化攻击、排查有没有被植入的后门。知乎
洞在地基里，你的代码还没开始运行
两个问题都出在PHP中几乎每个请求都会用到的部分：内存管理和错误处理。 前者发生在内存耗尽中断的瞬间，没写完的数据被当成有效记录继续使用；后者让程序拿着上一次请求留下的旧地址找数据，是典型的"释放后使用"。而这段解析逻辑跑在WordPress、Laravel这些应用代码之前——网站上有没有上传表单，跟安不安全没有关系。36氪知乎
安全公司Wiz用当时最新的WordPress、Drupal、Joomla镜像搭建测试环境，复现了无需登录的远程攻击，还验证了从内存中读取密码、令牌和API密钥的攻击路径。 在部分Apache与mod_php部署里，攻击赶在网站自己的程序启动前就能发生，哪怕页面只写了一行"Hello World"，也可能中招。知乎
补丁的覆盖面也更棘手：PHP 7.4、8.0、8.1这些还在大量使用的老版本，官方只准备了最小范围的源码修补，方便安装的更新还得等发行商打包。而根据安全公司Mallory对Shodan数据的统计，对外暴露且报出PHP版本的主机大约150万台，其中59%运行的是8.1或更老的版本。 一大批站点正处于"漏洞公开了、补丁装不上"的尴尬状态。知乎
保密了两个月，泄密只用了48小时
这场抢修原定10月22日晚统一发布，却在20日晚11点左右先失了密：两个漏洞编号突然在网上流传，还混着错误的发布时间。 21日凌晨，PHP团队被迫把发布提前了整整24小时；而据PHP基金会复盘，预告发出约半小时后，Calif误发的攻击演示视频也流了出去，把最后一点缓冲时间撕掉了。 到了当天下午，连含修复代码的构建镜像也提前公开——漏洞细节、复现方法、修复方案，在正式发布之前已经全部可查。知乎
Cloudflare在21日下午就确认看到了早期攻击，后来还披露攻击者已经在修改请求、试着绕过防护规则。 美国国家安全局和英国NCSC等安全机构相继发出警告，NSA说得很直接：如果网站无法立即修复，就应该先下线，等修好再说。知乎36氪
日本首相高市早苗当晚也在X上向全国发出紧急通知，请普通民众立刻检查自己对外公开的网站、准备补丁。 负责防黑客的机构自己先关了站：10月21日，荷兰国家网络安全中心NCSC选择先关站等修复，关站的还不止它，司法系统的招聘网站、培训机构网站也暂停了服务。 日本财务省同样停了官网的部分内容，紧急检查服务器。36氪知乎
这两个洞的来路同样值得关注：研究者参与了OpenAI的Patch the Planet计划，要用AI帮开源项目找洞、修洞，才把2004年就埋下的内存限制缺陷追成了整条攻击路径。 AI把沉睡二十年的地基裂缝变成现实威胁——这个信号，对攻防双方同样成立。知乎
三款免费插件：先看清它们不能做什么
以下三款都有免费版本，WordPress等CMS的站长在后台就能一键安装。但冷水要先泼：这类插件的防火墙对PHP2Shell没用，包括开了Extended Protection的Wordfence。 原因是插件靠auto_prepend_file加载，等它开始工作时，PHP早已把请求体解析完毕。知乎
PHP核心开发者Gina Peter Banyard的原话是：唯一的缓解措施就是打补丁升级。 所以"装完插件就安全"不存在；这三款的真实价值，是在你来不及升级的窗口期里替你挡住二次攻击、完成事后排查。知乎
Wordfence（免费版）：负责"扫"。它是WordPress生态里最常被推荐的安全插件之一，恶意软件扫描能查网站有没有被植入webshell、后台有没有多出不明管理员账号，防火墙则对付补丁发布后必然涌来的自动化流量——实测者提醒，补丁一发布，大概率15分钟内就会出现大规模自动化扫描。知乎
Sucuri Security（免费版）：负责"查"。文件完整性监控和安全告警是它的强项：核心文件、插件目录、配置文件被人动过会主动提醒，等于把"回查10月20日至22日文件变更"这份人工排查清单自动化了。
All-In-One WP Security（免费版）：负责"收"。登录失败锁定、会话强制退出、权限基线加固都可以一键配置。这次挨打的是引擎层，但攻击者真正进站后利用的全是应用层的松散习惯——把应用层收紧，就是给自己争取升级的时间。
两个补充。其一，如果你的网站挂在Cloudflare后面，它已给使用其Web应用防火墙的免费和付费客户部署了保护，但官方强调这只是临时措施，补丁出来还是得装。 其二，WAF只在一种情况下有用：你的服务器不能被攻击者直接访问——绕过防护直连源站IP，前面所有拦截都会落空。 如果源站IP早已泄露，先把它换掉再谈防护。知乎知乎
动作顺序，别搞反
第一步，查版本：确认PHP是否已到8.5.12、8.4.27、8.3.36、8.2.35或更高。OpenAI在22日凌晨放出了一个免费的Codex检查skill，帮网站运营者检查PHP版本、判断是否可能受影响——不过它只查不改，查到风险也替代不了升级。 第二步，还跑在PHP 7.4、8.0、8.1上的站点，推动主机商升级镜像或自行迁移；短期内确实修不了的，按NSA的建议，能下线的服务先下线。第三步，升级之后，用上面三款插件把10月20日至22日期间新增的文件、账号、计划任务排查一遍，再把临时加的拦截规则拆掉。知乎
对只上网、不建站的人来说，这件事的风险有限：漏洞不直接攻击浏览者，主要隐患来自被篡改网站的诱导页面，浏览器自带的反诈提示已经够用。但对站长来说，OpenAI已经预告PHP只是团队手上多项重大漏洞之一，未来几个月这类发现预计还会显著增加。 把这三款插件装上、把查PHP版本变成月度习惯，才是"70%告急"之后真正该留下的动作。知乎
