2026年10月21日，PHP官方为一项被合称为"PHP2Shell"的高危漏洞组合发布紧急安全更新，两项核心层缺陷都可能让攻击者在未登录的情况下直接操控服务器，官方给出的CVSS v4.0评分均为9.2。 "全球70%网站都危险"的说法来自美联社等外媒对PHP装机规模的描述，但它不等于七成网站正无防护地暴露：补丁已经发出，真正决定风险的是每台服务器升没升级、升得多快。央视新闻知乎新华网
对普通上网的人来说，这次漏洞可怕之处不在"网站可能打不开"，而在攻击发生在解释器层：攻击者不需要账号密码，就能在服务器上运行代码、读取内存中的凭据，站点自身的登录鉴权和插件检查都拦不住——因为出问题的是代码运行之前的那层地基。安全公司Wiz就展示了对 WordPress、Drupal 和 Joomla 等应用的未认证远程代码执行验证，以及 PHP 进程内存信息泄露。 事件曝光后，工信部NVDB平台与国家网络安全通报中心接连向国内用户发出风险预警，腾讯云、阿里云等厂商同步提醒客户排查业务中PHP的使用情况。知乎界面新闻新华网
七成网站：这个数字的口径到底是什么
"约七成"描述的是PHP的使用广度，而非漏洞暴露率：它的统计口径是服务端语言能被识别出来的网站里大约七成使用PHP，大量站点根本识别不出后端语言，更不意味着这些实例都没打补丁。知乎
漏洞的实际影响范围是PHP 5.4（2012年发布）到8.5的所有版本，光这个区间就横跨约十四年，英国广播公司的表述是"此前已存在十余年而未被察觉"。 安全公司Qualys对1.2万家企业客户的扫描显示：扫出的1.67亿个PHP安装包中73%位于面向互联网的资产上，能识别版本的实例里仅28%处于官方支持的8.2—8.5区间，其余71%跑在已停止支持的5.4—8.1上。 也就是说，"用PHP"的站里，大部分已经收不到官方补丁。新华网知乎
补丁落地速度又远赶不上攻击速度：漏洞公开后12小时内，上述企业环境中完成升级的安装包约19.9万个，占比约0.13%——这是软件包口径，一台机器可能装多个PHP，不能直接换算成网站比例。 已经停止支持的老版本只能靠生态兜底：宝塔面板10月24日宣布，已针对PHP5、PHP7、PHP8系列共计14个版本分支提供本次漏洞的相关修复包。 这反过来印证了长尾的规模——大量小官网、学校教务系统、多年前外包建设的办事网站，就停在这些版本上。知乎知乎
漏洞成因：一次"紧急刹车"，把上一桌客人的钱包留在了桌上
两项CVE是同一个病根。PHP处理请求时若内存耗尽或发生其他致命错误，会直接跳出当前执行，正常的收尾清理被跳过，内存里留下未初始化完的数据、或已释放却仍被指针引用的地址。而PHP的工作进程会被反复用于处理下一个请求：攻击者先构造一个请求把进程搞"乱"，再发一个请求"捡漏"，就可能读到其他请求残留的密码、令牌、API密钥；进一步布置内存布局后，可让服务器执行任意命令。这就像餐厅服务员收桌收到中途，被经理一嗓子叫走了，桌上还剩着上一桌客人的钱包和手机，下一位客人坐下来，伸手就能拿到。知乎
安全公司的验证让后果具体化：CrowdStrike验证，在Apache加mod_php这类常见环境里，一个匿名POST请求就能让工作进程弹出shell。 需要划清边界的是，实际可利用条件因 PHP 版本、SAPI、配置和应用路径而异，不能理解为每个 PHP 部署都能用同一条攻击链利用。 但评级看的是完整攻击链的可达性——这正是它被列为最重的远程代码执行一档的原因：业务代码再干净也没用，缺陷在解释器自己。知乎知乎
AI把"找漏洞"变快了，没有把"修漏洞"变快
据OpenAI与Calif、Wiz公开的信息，这次是多个团队分别发现、协调披露的结果：Calif研究员自7月30日起审计，借助OpenAI的GPT-5.6 Sol模型从PHP历史上的内存缺陷入手，8月1日找到第一个问题，8月11日与OpenAI一起报给PHP安全团队；Wiz Research在8月19日独立发现、8月24日自行上报。 维护者据此准备了两个多月，原定10月22日的披露因漏洞细节面临外泄，提前到10月21日。知乎界面新闻知乎
攻击侧没有等披露。Cloudflare首席执行官马修·普林斯介绍：漏洞消息公开前10小时，全网已发现数千起利用该漏洞的攻击；消息公开后45分钟内增至数万起，两小时内数十万起，高峰期达数百万起。 亚马逊威胁情报团队表示，它在用于观察攻击行为的"诱捕系统"中，找到了一次发生在10月17日的相关利用尝试，比漏洞公开早四天。 国内厂商360也确认该漏洞已遭在野利用，默认配置利用代码已公开。 攻防之间的时间差，从按周算压缩到了按小时算。新华网知乎知乎
但修漏洞的瓶颈纹丝不动。PHP安全团队自己公布：从7月1日到10月21日发布15个CVE，同期处理掉的报告里有100多份最终被判定为无效、重复或者根本复现不出来。 AI把"发现问题"打成白菜价后，验证、排序、修补、部署的压力全部堆给了数量屈指可数的维护者，微软CEO纳德拉感叹这是"对所有信息技术和（网络）安全从业者来说，漫长的一天一夜"。 Cloudflare首席技术官戴恩·克内克特判断，这不会是最后一次，人工智能模型将不断在广泛使用的软件中发现类似漏洞。更麻烦的是临时缓解靠不住：PHP官方给了关掉会话上传进度等几条配置建议，但核心开发者明说了，没有哪条配置能完全挡住攻击，更新是唯一办法。知乎新华网知乎
为什么这么多机构选择先关站
英国国家网络安全中心给出了标准动作：立即将PHP更新到最新版本；无法及时升级的采取临时缓解措施；若措施无法实施或耗时过长，应考虑暂时将系统下线，直至风险得到充分缓解。 实际反应几乎是按这条阶梯展开的：多国金融、航空、铁路、税务和政府服务机构出于安全考虑临时下线各自网站，截至10月22日不少政府网站已恢复运行，但升级仍在进行的站点不时出现服务中断或受限。新华网新华网
日本的波及面更广：软银因应对PHP漏洞暂停了紧急速报邮件服务，富士胶片旗下instax官网紧急维护，首相官邸在社交平台上喊话网站管理员当晚打补丁、打不上就先关站。 日本有安全顾问批评，这种"不能接受任何不确定性"背后是怕担责的决策瘫痪。比较公允的判断是：能否在几小时内确认版本、升级并重启全部工作进程，是停不停站的标尺——挂在主流防护后面、版本受支持、当晚能完成升级重启的站点未必需要停一整天，确认不了自己跑什么版本的长尾老站，停了才诚实。界面新闻知乎
日常影响：接下来几个月会发生什么
事件之后有三波余震，多数与普通用户直接或间接相关。第一波是被打穿的机器：攻击者拿到执行权限后通常先埋后门，补丁修得了漏洞、删不掉已写入的webshell，被攻击过的服务器需要查日志、查文件变动，被读走的数据库密码、API密钥、证书必须全部轮换。
第二波是普通用户的判断成本。安全专家的说法很直接：普通用户无需恐慌，因为PHP运行在服务器上，而非个人上网设备里；如果某个网站暂时打不开，可能是主动避险行为，个人信息是否受影响要看后续通知。 需要做的，是留意常用网站（电商、游戏、政务）后续的安全公告，若发布了数据泄露通知，再按提示更换密码。顺带澄清一条被拼接的信息：卡普空1177万条会员数据泄露一案，公告写明入侵痕迹发现于10月19日、比漏洞公开还早两天，公司并未说明系PHP漏洞所致，两件事不应写成一件。 冒充主机商、云厂商发送"您的服务器存在PHP2Shell漏洞，请紧急点击修复"的钓鱼邮件预计会激增，这是用户此刻最直接的辨别项。新华网知乎
至于更长的尾巴，2021年Log4Shell危机后，美国网络安全审查委员会判断存在漏洞的Log4j实例可能在系统里残留十年甚至更久；PHP的部署比Log4j更分散，欧洲安全服务商估计，彻底清除PHP漏洞遗患可能需要数月甚至数年。 漏洞本身在10月21日就被修复了，真正漫长的，是让互联网上每一台服务器都完成升级的那段路。新华网
