10月21日晚，PHP官方一次放出四个维护分支的安全更新，修复了两个由安全社区命名的引擎层漏洞，危险评分均达到9.2分，满分10分。这两个漏洞编号分别为CVE-2026-109618和CVE-2026-109619，被安全社区统称PHP2Shell。"全球70%网站面临危险"这个说法需要先纠正读法：70%说的是暴露面，不是被攻陷的比例——W3Techs 10月22日的统计，在所有已知服务端语言的网站里，PHP占69.3%。但"危险"本身不是空穴来风：补丁发布当天，已有攻击者把这对漏洞用于实战，多国政府机构的反应比多数站长更快。新智元36氪知乎
洞在引擎层：你的代码还没运行，攻击可能就发生了
这对漏洞都出在PHP几乎每个请求都会经过的地方。第一个与内存耗尽的处理有关：请求如果在特定阶段触及内存上限，程序会提前中断，后续清理可能把尚未初始化完成的数据当成正常数据使用。第二个漏洞在于跨请求清理不彻底：前一次请求异常结束后，内部状态没有正确重置，工作进程带着旧指针处理下一个请求，访问已经释放的内存，技术上被称为"释放后使用"（Use-after-free）。最要命的一点是：在Apache mod_php部署中，一个未经身份认证的请求就能在任何应用代码执行之前触发攻击。这就是"代码写得好也防不住"的原因——洞不在网站业务逻辑里，而在替网站接请求的引擎里。研究机构的测试进一步坐实了风险：用当时最新的WordPress、Drupal、Joomla镜像搭建环境，无需登录的远程攻击可以复现，甚至能从进程内存里读取密码和API密钥。36氪知乎新智元
秘密修复谈了两个月，泄露和攻击只用了48小时
这次披露实际是一场保密两个月的跨机构协调：8月11日，安全公司Calif向PHP安全团队报告了攻击路径，OpenAI同日独立报告了相同根因；8月24日Wiz Research也独立报了漏洞；10月20日，细节抢在补丁前泄露；10月21日Cloudflare报告早期攻击，6小时后修复版本才放出。Cloudflare的首席技术官Dane Knecht在补丁发布前公开表示，攻击已经出现，公司正在更新防火墙规则作为过渡。知乎华尔街见闻
拖延比漏洞本身更早出现。这个OOM缺陷在2024年的外部审计中就被发现过，因为拿不出利用证据一直没人修，PHP基金会在10月21日的复盘文章里把这次拖延称为一次"结构性失败"，承认问题既出在安全决策流程，也出在维护资源不足。而各国机构的反应快得罕见：荷兰国家网络安全中心NCSC在补丁发布前一天就把自家官网下线避险，荷兰司法招聘网站、芬兰政府的公共网络服务相继预防性停用。36氪新智元
美国国家安全局与英国NCSC相继发出警告：这类漏洞直通服务器的文件系统或数据库，实在来不及打补丁，就把系统直接下线。日本首相高市早苗也在21日晚通过X向全国发出紧急通知，请网站主当晚就检查、准备补丁；日本全日空等企业的官网作为预防措施临时关停。36氪
“AI发现了漏洞”，既对也不全对
OpenAI版叙事的核心是"防御者窗口"：据其说法，是前沿AI比攻击者更早发现了这些漏洞——Calif在GPT-5.6 Sol协助下发现了其中一个严重漏洞，Wiz独立发现并报告了其余问题。Wiz研究员Sagi Tzadik则公开写道，AI干了这里的大部分工作。但发现者自己给这套叙事划了边界，Calif的Ryan Austin明确表示，"没有一个模型能靠简单提示词挖出所有漏洞。至少现在没有。“选题、判断哪里值得挖，靠的是他对PHP内存漏洞史长达二十余年的积累——这一类问题的源头，正是2004年第一个PHP内存限制远程漏洞。模型真正立功的，是枚举"怎么绕过请求体积限制”"怎么用空的上传片段把内存堆到临界"这类人嫌麻烦的输入构造。Wiz研究报告里的判断点到了更要害：构造完整可靠的利用路径，过去要顶尖团队投入数月，如今一名研究人员借助AI一周内就可能完成。所以更准确的说法是：AI压缩的不是"发现问题"的时间，而是"问题存在"变成"必须立刻修"的时间。知乎新智元36氪
站长现在该做的五件事
分开盘版本：`php -v`给的是命令行的版本，真正服务网页请求的PHP-FPM、mod_php、php-cgi要逐一核对，两者可能不一样。知乎
升级到修复版本：8.5.12、8.4.27、8.3.36、8.2.35；仍在跑7.4、8.0、8.1的，官方备出了最小范围源码补丁，让发行版或长期支持方跟进。36氪
升级完必须重启：PHP-FPM是常驻进程，二进制换了、内存里跑的还是旧代码。
别漏暗角落：Docker基础镜像要重新拉取并重建容器，负载均衡后面藏着的机器最容易出事。
WAF只是止血带：Cloudflare给使用其Web应用防火墙的客户部署了保护，但它自己也强调，这只是权宜之计，补丁出来就得装。华尔街见闻
OpenAI随公告放出了一个Codex形式的PHP版本检查工具，帮站长对多台机器做资产盘点。他们还提醒了一句：PHP只是团队已发现、正在修复的多项重大漏洞之一，预计未来几个月这类发现会显著增加。新智元
