10月21日晚间，PHP官方网站一次性放出四个紧急更新版本，修复了编号为CVE-2026-109618和CVE-2026-109619的两个高危漏洞，两者在安全圈被合称为“PHP2Shell”：攻击者不需要任何账号密码，一个精心构造的请求就能在服务器上执行任意代码。国家信息安全漏洞共享平台（CNVD）同天收录了这两个漏洞，评分9.2分、满分10分，工信部随后也发布了防范这一超危漏洞的风险提示。“70%网站面临风险”的说法，底子来自技术统计机构W3Techs：全球能识别出服务端技术的网站中，69.3%在使用PHP，排在第二位的只有8.1%。但需要先把一件最容易搞混的事说清楚：这次面临风险的是网站的服务器，不是你手里的手机和电脑，普通用户的实际影响，主要是网站停摆这一波，以及账号数据可能被泄漏的潜在风险。知乎网易爱范儿
这个漏洞最吓人的地方，藏在你所有防线之下
以往“PHP网站被黑”的新闻，问题多半出在某个插件或某个应用上；这次出问题的位置在PHP解释器本身的内存管理，跟网站代码写得好不好没关系。发现方之一Wiz的说法是：“哪怕你的网站上只跑着一个HelloWorld，也照样受影响”。在最普遍的Apache+mod_php部署里，攻击在网站的业务代码开始运行之前就会被触发，等于站点上安装的安全插件和拦截规则还没轮到自己出场；已证实的一条利用路径，走的是十多年来默认开启的文件上传进度条功能。影响范围从PHP 5.4.0一直覆盖到8.5.11，几乎囊括今天仍在运行的所有PHP存量版本，而官方的表态也很直接：没有完整的缓解措施，唯一安全的做法是立即升级。爱范儿量子位
“OpenAI发现”说对了一半：人指路，AI把时间压短了
PHP基金会在事后复盘中把源头追得更早：按照披露的完整时间线，内存管理问题的早期迹象早在2024年就由人类开发者发现。但当时没人能证明它真的可以被利用，修复方案又可能破坏兼容性，问题一搁就是两年，基金会自己把这段拖延称为一次“结构性失败”。转折出现在今年8月：安全公司Calif的研究员借助GPT-5.6Sol发现了关键缺陷并报告给PHP团队，OpenAI在同一天独立报告了相同根因，谷歌旗下的Wiz也用自家平台配合大模型独立发现了这两个漏洞。随后两个多月，修复由OpenAI参与协调、维护者主导完成。36氪量子位界面新闻
所以，“OpenAI发现了世纪漏洞”这个说法，准确版本是：几个团队带着大模型当显微镜，把过去需要一支顶尖安全团队花数月才能完成的利用链验证，压缩到了大约一周。OpenAI对这次事件留下的更重要的话是提醒性质的：未来几个月内，类似漏洞的数量会急剧增加。爱范儿量子位
恐慌的48小时：多国政府网站预防性下线，攻击尝试冲到百万级
按照原计划，这场披露本应是协调一致的，但10月20日HackerNews上出现了一条提前泄露的帖子，漏洞当天就被安全公司确认属实，PHP团队被迫把补丁发布提前了整整24小时。随后欧洲多国进入紧急状态：德国联邦信息技术中心预防性关闭了多个政府网站，芬兰、法国、比利时等国对公共部门网站采取保护措施，美国、欧盟、英国的网络安全机构相继发出警告。荷兰直接把电子身份系统DigiD、政府个人服务平台MijnOverheid等门户全部暂停，连本国网络安全中心的官网也一度关闭；美国国家安全局给出的处置建议干脆：修不了的网站，下线到修好为止。爱范儿InfoQ
日本方面，首相高市早苗在X上向全国发出紧急通知，请民众当晚就检查自己对外公开的网站。pixiv、Niconico等日本知名平台宣布紧急维护，连寿司郎也暂停了小程序服务。防守方在拼命争取时间，进攻方同样：Cloudflare披露，漏洞公开前10小时其网络已观测到数千次利用尝试，公开后45分钟内涨到数万次，两小时内达到数十万次，截至目前已有数百万次。36氪InfoQ
对普通用户来说：能做的事不多，但每件都划算
升级、重启服务器、给旧版本找回移植补丁，这些都是网站运营方的事，普通用户无法替它们完成——所以第一件事是分清状态：这几天打不开某个网站，大概率是它在紧急维护，不等于它被黑了，更不等于它倒闭了。真正值得警惕的是第二件事：在补丁覆盖之前就已经被打穿的服务器，泄漏的不只是页面内容，攻击者还能借此读取内存里其他用户的密码、令牌和API密钥。接下来几周，围绕各大网站的钓鱼和“撞库”大概率会增多：收到“账号异常、立即验证”的短信或邮件，不要点里面的链接，改走官方App或手动输入官网地址；如果不同网站用的是同一组密码，等这波风声过去后，把重要网站的密码改掉并开启两步验证。
风险还会拖得比新闻热度长。按W3Techs的数据，全部PHP网站里仍有27.0%跑在PHP 7.x、7.7%跑在PHP 5.x，这些早已停止维护的版本拿不到官方补丁。国内不少跑在宝塔面板、ThinkPHP、Discuz上的长尾老站点也在这一群里，只能靠WAF拦截规则和迁移隔离兜底。至于“互联网三分之一已经永久坏掉”的传言，被独自为全球大量Linux发行版打包PHP的捷克志愿者Ondřej Surý否认：老版本并非无药可打，只是更费工程；而恰恰是包括他在内的维护者，撑住了这次全球补丁的最后一公里，他过去24小时收到的捐款差不多抵上了之前一整年。爱范儿InfoQ
这一次，AI抢在攻击者前面把漏洞挖了出来，把补丁先递到了防守方手里；但补丁和漏洞细节同时公开，攻防双方拿的是同一份代码修改记录，“防守方窗口期”正在变成需要精确计算的资源。Wiz联合创始人把PHP2Shell称为“迄今由AI协助发现的最严重漏洞”。你常去的网站，背后多半还是那个跑了十几年的PHP——这一次它被一台不知疲倦的显微镜照见了，以后还会有下一次。爱范儿
