会升级的那批，这波事故基本已经翻篇。真正被这次事故按在桌上的，是另一群人：手里攥着 7.x、5.x 或者 EOL 版 8.x 老项目、这六天里一口没动的维护者。他们讨论的话题已经从第一周的"怎么打补丁"，变成了一笔更大的账：升不升、走哪条路、成本谁扛。
一、这次暴露的不是漏洞，是一条「版本供应链」的欠账
先把账本上的硬数字摆清楚。
北京时间 10 月 21 日晚，PHP 官方一口气发布 8.5.12、8.4.27、8.3.36、8.2.35 四个分支的修复版，修的是 CVE-2026-109618 和 CVE-2026-109619 两个未授权远程代码执行漏洞，官方按 CVSS v4.0 评为 9.2 分（Critical）。 NVD 随后按 v3.1 独立复评为 9.8 分和 8.1 分——无论采哪个口径，都是要当天处置的级别。知乎知乎
麻烦在覆盖面：从 PHP 5.4 起几乎全线中招，但官方修复只发给还在维护周期内的四个分支。8.1 及更早的 5.x、7.x？没有回补补丁，想彻底修复只有一条路——跨版本升级。知乎
而存量恰恰长在这一段。另一份援引 W3Techs 2026 年 10 月的统计显示，PHP 7 约占所有 PHP 站点的 33.7%，PHP 5 约占 8.8%，再算上已到期的 8.0、8.1，“官方根本不会给你发补丁"的存量占 PHP 站点约四成。 社区里流传的一份扫描统计更直观：截至本周，仍有约 157 万台联网 PHP 主机没打上补丁。 所以这场事故真正的杀伤力，不在于"补丁难打”，而在于它把一条行业欠账摆上了台面：这么多网站，一直跑在一个没有维护者的版本上，而整个 Web 默认这件事不会出事。知乎知乎
二、「不敢升」不是这次才有的问题
有意思的是，升级决策的纠结，比事故早了整整一周。10 月 15 日的知乎问题"老 PHP 项目该不该从 7.4 升到 8.3，哪些坑最容易低估？"已经写得很直白：安全支持快没了，但又怕升级后线上出奇怪问题。知乎
老项目的核心痛点，一位接盘七八年项目的开发者总结得扎心：问题不在语法，而在于"没人说得清它现在到底怎么跑起来的"——入口文件混着 SQL 拼接和弃用函数，加个导出按钮，逻辑散在四个文件里，改完导出影响登录。知乎
站长侧的账更现实。一位做官网和 WordPress 站点的站长自述（安全托管服务商口径）：月盈利不过万的站，设备类安全方案报价几十万不敢让报价，最怕的两件事一是网站被入侵数据丢光，二是盲目升级 PHP 直接把业务干崩、网站打不开。 换句话说，拦在"升"字前面的从来不是"不会升"，而是"谁来保证升完业务没崩"。知乎
三、AI 这个变量：动了迁移的成本，没动验证的成本
这轮讨论里最显眼的新变量，是 AI 到底能不能替老项目动刀。
一边，是移植侧成本被砸穿的信号。今年 3 月流传的那个案例——新来的技术 Leader 几乎不懂 PHP，用 Claude Code 把公司跑了十年的 PHP/Laravel 项目升级到最新版本、平稳落地——这周又被大量翻出来重议。 评论区立场至今分裂：老人私下觉得"十年老项目、历史包袱那么重，不懂 PHP 带着 AI 就敢动刀是在作死"；做成的人则认为，版本升级本质就是按官方升级指南替换废弃 API、调配置、修兼容性，规则明确、模式固定、量大但不需要创造性判断，恰好是 AI 最擅长的活。现在知乎上"刚接手老 PHP 项目先看哪里"的问题下，高票答案的开头已经变成"能用 AI 的话，先用 AI 把项目跑一遍，结构文档、业务流程图、数据流图都跑出来"。微博知乎
另一边，验证侧的成本一分没降。AI 写得出迁移 diff，但替不了"没有测试、没人懂业务"这个事实本身。升级的工作量清单不会因为换了工具就消失：废弃函数逐条排查、扩展兼容性验证、框架大版本联动，Docker 环境主机升级没用、得换基础镜像重建容器。 同理，改完版本不重启 FPM，内存里可能还是旧的。 每一步都可能踩坑，每一步踩坑都是线上事故。知乎知乎
判断给到这：AI 把老项目升级的难点，从"动得动"变成了"验不验得起"。 敢让 AI 动刀的前提，不是团队里有没有人懂 PHP，而是你有没有办法验证落地和回滚。把这两件事混为一谈，才是这波"AI 迁移"讨论里最危险的误读。老玩家给出的保守路线至今成立：能分两次完成的风险，千万不要合并成一次豪赌。知乎
四、四条路，各算各的账
路径 | 一次性成本 | 真实风险 | 适合谁 |
|---|---|---|---|
A. 直接升级到受维护分支（8.2+） | 人力最高：代码迁移＋全量回归 | 一步走错当天爆，但这是唯一彻底修复的选项 | 业务还在频繁改动、有测试或有人肯做手工回归的项目 |
B. 发行版/面板 backport 修复包续命 | 接近于零：面板点更新或跑脚本 | 旧版修复包只修本次已知问题，不意味着重新获得官方持续维护；5.x 还需手动命令＋自测兼容 | 改动极少的静态官网、内部管理系统的短期缓冲 |
C. 黑盒隔离，新旧并行 | 中等：搭网关/路由，新功能走外围服务 | 战线拉长，老系统继续裸奔的窗口期变长 | 业务正常但技术债厚重的系统——“还债分期”，别合并成一次豪赌 |
D. 托管服务/长期关站 | 托管按服务商口径年费几千元级；关站零成本零收入 | 把命运交给别人/交给时间 | 没人运维、盈利微薄的官网站长——先回答"这个站值不值得活" |
值得单独展开一句的是 B 路线的边界。宝塔的公告里把话说得很白：旧版本修复包主要用于修复本次已知安全问题，并不意味着这些旧版本重新获得了 PHP 官方的持续安全维护。 换句话说，backport 买到的是时间，不是未来。宝塔面板
给三类人各一句话：站长先判断站的价值，再选 B 或 D，别在工具层纠结；技术 Leader 可以让 AI 接迁移，但验证必须安排人配对，测试覆盖没建起来之前，C 是比 A 更诚实的答案；团队里的 PHP 老兵，先别急着嘲"作死"——活儿的价格变了之后，你的价值恰恰长在"知道哪里会炸"这一段，这恰好是 AI 给不了的部分。
五、接下来盯什么
补丁是不是发完了？没有。 10 月 23 日 PHP 官方又披露了 CVE-2026-115560，仍在 session.upload_progress 一带，风险等级中危、特定场景下可触发 RCE；社区实测口径是 `session.upload_progress.enabled=Off` 只是缓解，对 109618 不构成完整修复。 风暴后同区域再补刀，说明对没升级的人，这不是最后一波。知乎
在野利用走到哪了？ 援引 AWS 威胁情报的披露：其 MadPot 蜜罐最早在 10 月 17 日——公开披露前 4 天——就观测到利用尝试，来源为匿名网络 IP；披露当天又监测到多起、来自不同匿名基础设施的尝试。 目前形态是"大规模利用尝试"、公开的实际战损报告有限——别恐慌，但也别赌自己不在批量扫描的名单里。知乎
backport 路线的成色。 宝塔为 PHP 5、7、8 全系列共 14 个版本分支提供了修复包，但 5.x 系列暂不通过面板软件商店推送、只给更新脚本；如果你把宝押在这条路上，它的后续公告就是你的进度条。宝塔面板
11 月 19 日 PHP 8.6 发版在即。 这一轮大量弃用项，本质是给还在旧版本的人提前开好的账单——今天欠的升级，不会因为你什么都不做而变小。
这场事故叫 PHP2Shell，但从头到尾裸奔的其实不是谁的代码，而是项目的版本供应链。AI 确实把"动代码"三个字的价格打下来了，在"有没有测试"这块补课完成之前，老项目最稳的路线依然是那句老话：把风险拆成两次，别合并成一次豪赌。
