2026年10月21日晚，全球很多网站同时"打不开"了。但它们其实一个都没有被黑客攻陷——而是自己主动关掉的。发出警告的机构把话说到最重：来不及修，就先下线。具体名单里，芬兰关停了全部对外网络服务，荷兰连本国网络安全中心的官网都撤了下来，维基媒体基金会和任天堂也相继停掉了部分服务。微博36氪微博
这场"连夜拔网线"的源头是 PHP：全球约七成网站都用它编写；这次掀起风波的是 PHP 核心引擎里的两个内存安全漏洞，编号 CVE-2026-109618 和 CVE-2026-109619，被安全社区统称为 PHP2Shell。它之所以被当成"必须关门"的级别，是因为攻击者不用进门就能拿到整台服务器的控制权。更麻烦的是，攻击发生在网站自身代码开始运行之前，事后连"被打过"都查不到。36氪微博知乎
对国内运维来说，这不是遥远的"别人的互联网"：宝塔面板方面告诉媒体，其客户群里超过 60% 的国内项目用到 PHP，而这是罕见的"全版本通杀"，覆盖十几年来所有主流版本。微博
躺了十多年的漏洞，今年夏天被 AI 证明"能打死人"
PHP2Shell 最反常的地方在于它并不新，十多年里不止有人摸到过边界，只是从来没人把它做成真正的攻击。修复也因代价太大一再搁置，PHP 基金会事后承认这是一次"结构性失败"；转折出现在 2026 年夏天——8 月 1 日，Calif 研究员 Ryan Austin 在 OpenAI 的 GPT-5.6 Sol 协助下发现首个漏洞，OpenAI 同日独立报告了同一根因，8 月 19 日谷歌旗下的 Wiz 也独立完成了发现。最先挖出这批漏洞的，正是 OpenAI 今年才启动的"修补地球"（Patch the Planet）计划：用前沿安全大模型做研究、专家人工审核把关，不只报漏洞，还帮维护者把补丁做出来。但同一把刀是双面的——AI 能替防守方抢时间，也必然会被攻击者拿去加速武器化。微博36氪知乎
披露链条断裂：两个多月的窗口被压成几个小时
原定于 10 月 22 日协调披露，却在 10 月 20 日下午被人先在 HackerNews 上喊了出来，帖秒删、截图疯传，安全公司 watchTowr 几小时内确认泄露属实；PHP 安全团队当晚紧急预警，把补丁发布整整提前 24 小时，随后攻击演示视频被误发疯传、含修复的镜像又被抢跑放出。OpenAI 把"从发现到被武器化利用"之间的时间称为"防守方窗口"——这次，两个多月的窗口被压到了几个小时。攻击随即涌进来：漏洞公开前 10 小时只有数千次利用尝试，公开后 45 分钟内变成数万次，两小时内数十万次，随后累计达到数百万次——注意，这些是"尝试"的次数，不是得手数。36氪微博36氪
防守侧同样在连夜抢时间：提前拿到补丁的发行版有整整一天时间打包，Cloudflare 提前备好了 WAF 规则，白宫超级智能工作组、ONCD 和 CISA 也都收到了通知。而让数百万台服务器当晚"有的可装"的关键一环，来自一位住在捷克的志愿者 Ondřej Surý，他常年志愿维护全球大部分 PHP 发行软件包，被纳入知情小圈子后提前备好了包。中国的服务商同样被拖入接力：宝塔的紧急小组接力工作了三天，客服工单量翻了三倍以上。知乎36氪微博
现在还剩什么：被确认的利用，和补不上的长尾
这不只是纸面威胁。被研究披露的漏斗是：公网暴露的 PAN-OS 设备约 1.9 万台先被筛出，再缩窄到约 240 台目标，第一轮就有 24 台防火墙被成功取得 root 权限。CISA 也在 11 月初把这两个漏洞列入积极利用漏洞目录。知乎微博
更长的尾巴在补丁覆盖不到的地方：紧急修复只覆盖 PHP 8.2 至 8.5 四个分支，而仍有 27.0% 的 PHP 站点跑在 7.x、7.7% 跑在 5.x——这些早已停止维护的版本拿不到官方补丁。36氪
别把"案外案"算在 PHP2Shell 头上
俄罗斯头部主机商 Beget 11 月初遭"删库"攻击：攻击者攻破核心管理权限后运行删库脚本，云服务数据连备份一起被清空，波及数十万俄本土网站，恢复时间至今未定。同一时间线上还有币安被盗 63 亿美元一案——调查报告认定的入口是虚假招聘诱骗一名工程师植入恶意代码；新加坡航空约 4.6 万条预订记录存在泄露风险，则源自票务供应商 Amadeus 的系统事件——已核实的信源里，这些损失与 PHP2Shell 均无确认的直接关联。微博微博微博
热搜之后，该盯住什么
把这些事件叠在一起看，“黑色十月"的共同底色是攻防节奏被 AI 拉快：过去三五年才能碰到的顶级漏洞，现在几天就来一次。央视在报道里点出的问题也正是这个：一个看似不起眼的软件漏洞，为何能牵动全球互联网——人工智能的介入，对网络安全又意味着什么？如果你运营一个用 PHP 的网站，眼下最实在的动作是核对版本能否升级到 8.2 至 8.5 的修复分支；至于普通用户，10 月 21 日那晚的"打不开”，其实是网站在替你把关门这条最笨也最有效的路。微博央视网
