10月21日夜里，维基百科、4chan、DeviantArt先后短暂下线；荷兰把政务入口、议会网站、数字身份系统全关了，比利时弗拉芒大区政府旗下官网整体下线，日本多家银行和航司停掉部分在线服务，连《赛马娘》《公主连结》这些游戏都连夜挂出紧急维护公告。日本首相甚至亲自发帖喊话：今晚就处理，来不及打补丁的，先把网站关了。微博知乎华尔街见闻游研社微博36氪
让国家元首催全网打补丁，活久见。闯祸的是PHP里两个漏洞，编号CVE-2026-109618和109619，合称PHP2Shell，CVSS评分9.2。狠在哪？不用账号密码，一个特制请求就能在服务器上直接执行代码，密码、密钥、数据库全裸奔。而PHP跑在全球约七成能识别技术栈的网站上，WordPress、Drupal、Joomla全踩在上面。知乎微博知乎
真正让人后背发凉的，是"谁挖出来的"。
这俩洞老得离谱，出问题的代码能追溯到PHP 5.4.0，一躺就是十几年。不是没人看见：2020年就有人报过相关的内存溢出问题，2024年PHP基金会第一次外部审计又抓到苗头，但都卡在同一步——证明不了真能被利用。Wiz的报告说得直白：构造利用链需要一条极其复杂的步骤链，“处于人类研究者实际能力的边缘”。翻译一下：不是没人看见，是没人够得着。知乎华尔街见闻知乎知乎
今年，AI进场了。OpenAI"Patch the Planet"计划下的安全团队Calif，用GPT-5.6 Sol撬开第一个缺口；Wiz Research用自家Atlas工具配上Gemini 4 Argon，独立拼出完整利用链，还在WordPress、Drupal、Joomla上演示了免登录直接拿Shell。Wiz自己的总结：借助前沿模型和合适的工具，一名研究员一周干完了过去世界级团队几个月的活。知乎参考消息华尔街见闻
挖出来之后，“好人这边"保密了两个月出头，协调PHP官方出补丁，10月21日才公开。这次补丁一口气改了390个文件。OpenAI管这段窗口叫"防御者之窗”。知乎知乎知乎
攻击来得比所有人预想的都快：补丁一公开，漏洞细节也就公开了，AI可以毫不费力地反向还原出利用代码——而这个工具，攻击者手里也有同款。Cloudflare CEO透露，披露前10小时就监测到数千次利用尝试，公告发出2小时内飙到数十万次，随后突破百万次；Palo Alto Networks统计，带洞的暴露实例超过2260万个。美国NSA和英国NCSC给的建议很直接：没法立刻打补丁，就先下线。咱们工信部的漏洞平台也发布了紧急风险提示。参考消息华尔街见闻微博财联社
手里有PHP站点（包括WordPress）的，今晚就该做这几件事：
查真实版本：`php -v`看到的是命令行的，未必是网站实际在跑的，两边要分开查。知乎
升级到修复版：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 及以上；8.1和更早的已停止维护，不会再有补丁。微博
升级完必须重启所有服务进程——打补丁不重启等于白打；用容器的，镜像要重建，光pull不重启没用。知乎
一时升不了级的，先上WAF顶住（Cloudflare、Akamai等都已有规则）；OpenAI还开源了phpcheck.js小工具，一条命令扫出自己的暴露资产。知乎
这件事最大的启示，不是"PHP完了"，而是：找漏洞的边际成本，正在被AI打到趋近于零。一个洞躺十几年没出事，不代表它安全，只代表利用它太贵——现在AI把价格打下来了，攻防两边用的还是同一代模型。你家那个"跑了很多年、没人敢动"的老系统，今晚最好先跑一遍php -v。知乎微博
