北京时间10月21日晚，PHP官方放出8.5.12、8.4.27、8.3.36、8.2.35四个安全版本，修补引擎核心里两个CVSS 9.2分级的远程代码执行漏洞，安全圈把它们合称为“PHP2Shell”。这场警报的分量从各国的动作就能看出来：日本首相高市早苗紧急发文催网站运营者尽快修复，必要时干脆关站。荷兰国家网络安全中心NCSC则选择在补丁落地前先关掉自家官网避险。知乎云头条新智元
日本这边，多款游戏和官方网站为保安全宣布紧急维护。欧洲方向，德国、法国、荷兰、芬兰的部分政府和公共服务网站临时下线，维基媒体基金会也采取了预防性措施。微博云头条
至于“老旧Web技术栈该不该淘汰”，答案可以直接给：这次该淘汰的不是PHP这门语言，而是还跑在停止维护版本上、等不到补丁的老站点——受支持的版本当晚拿到了修复，引擎甚至为此重写了内存管理机制，WordPress、维基百科们照样运转；真正被敲响警钟的，是那批指望“能跑就别动”混过去的存量部署。
洞在引擎里，升级网站程序没有用
两个漏洞（CVE-2026-109618、CVE-2026-109619）都出在内存环节：当程序发生内存耗尽或致命错误时，部分数据没有得到正确初始化，或者已经释放的内存仍被其他内部结构引用。攻击者构造特殊请求就能利用这些残缺状态，一步步走向远程代码执行。云头条
Wiz用当时最新的WordPress、Drupal、Joomla镜像搭起测试环境，复现了不用登录就能打的远程攻击，还验证了从内存里读密码、令牌和API密钥的路径。最棘手的是Apache mod_php部署：官方特别提示，这类服务器风险更高，默认配置下攻击能在网站自己的业务代码启动之前完成。新智元云头条
因为洞在解释器本身而不是WordPress、Laravel这些框架，把CMS和插件升到最新并不能消除风险；PHP官方口径是，5及以上版本都可能受影响。知乎华尔街见闻
波及面之所以惊人，是按W3Techs统计，能识别服务器端语言的网站里约69.3%由PHP驱动。截至10月22日凌晨，公开资料尚未证实出现大规模成功入侵，眼下更像“攻击在路上”，而不是“已经全失守”。新智元云头条
雷躺了十几年，AI拆掉了“难利用”这堵墙
这不是新洞：Wiz指出，问题代码至少可以追溯到PHP 5.4，已有十余年历史。云头条
PHP基金会也承认，早在2024年的外部审计中开发人员就摸到了内存管理的隐患，却因为给不出可用的攻击路径、又忌惮大改伤兼容，一直没能修干净。云头条
换在过去，这类“理论危险”的缺陷可以靠“没人搞得定”当缓冲。
今年夏天缓冲没了：8月，Calif在OpenAI资助的审计中锁定第一个漏洞，几周后Wiz团队混用多种AI工具独立撞上同一组问题。Wiz称，借助这些模型和配套工具，一名研究人员一周完成了过去顶级安全团队可能需要数月的工作。知乎云头条
OpenAI的定性更直接：这次事件标志着AI能够发现具有互联网规模影响的安全漏洞，已进入一个新阶段。硬币的另一面是，AI同样压低了攻击者的门槛——从漏洞公开到被真实利用的间隔，只会越来越短。知乎
这场发布，其实是被泄密推着走的
各方原本约定10月22日统一公开。预告发出后不久，攻击验证视频又被意外流出，虽然很快删除，副本已经传了出去。新智元云头条
10月21日凌晨3点02分（UTC），Cloudflare的拦截规则全网生效，此时监测到真实的攻击流量。防守方内部本有一条协调线：PHP基金会提前向云服务商、托管平台和安全厂商提供了必要信息。知乎云头条
但社区里另一笔账更扎心：全网仍有近一半PHP网站跑在官方早已不管的老版本上，AI抢出来的“防御者窗口”，对大厂是几周，对小站长是一天，对这些老站点是零。知乎
更值得警惕的是，OpenAI已经预告：PHP只是团队已发现、正在修复的多项重大漏洞之一，未来几个月这类发现预计还会显著增加——这才是“漏洞频发”四个字的准确含义。新智元
该淘汰的不是PHP，是“等不到补丁”
PHP确实老，也确有包袱：这类内存问题的根子是C语言的内存管理，Chromium团队披露过自家约70%的高危安全bug都是内存安全问题，而PHP解释器是几十年C代码的积累，不可能一夜重写。知乎
版本悬崖才是真正的风险线：如果是8.1或更老，官方已经没有新版本，只能找发行版要补丁或自己编译源码修补。已经停止官方安全维护的版本，说白了就是不会再有人给它发补丁。连8.2也将在今年12月31日结束安全支持——“没人管”的边界每年都往前挪。知乎宝塔面板知乎
所以判断一项技术栈该不该退役，标准不该是语言名字，而是三个问题：它还在不在安全维护窗口内、出了事能不能在几天内把补丁装上、升级有没有人愿意花真金白银去测。三条都不满足，不管它叫PHP、Java还是老.NET，都该淘汰；满足的，就不该被一场风波拖累。
站长现在该做的，就三步
先摸清版本：面板里装着新PHP不等于网站在用，每个站点实际挂的环境都得逐个确认。在8.2到8.5的，直接升8.2.35、8.3.36、8.4.27或8.5.12，发行版自带软件源最快，注意remi这类志愿者维护的源官方当天不会更新。知乎
PHP官方明确表示，目前不存在能完全消除漏洞风险的临时缓解方案，打补丁才是唯一完整的解决办法。网上流传最广的“关掉session.upload_progress开关就安全”，只管得住两个漏洞里其中一个的session路径；升不动的站点，CERT-EU的建议更直接——把对外PHP应用先从网上摘下来。云头条知乎
OpenAI已开源一个可供Codex使用的PHP版本检查Skill，能帮你自查是否受影响，但它查的是版本，替不了升级。这声警钟最后是变成警报还是变成提醒，取决于今晚有没有人真去查一眼那些“没人记得密码、也没人敢重启”的老机器。知乎
