10月21日，PHP官方紧急发布8.5.12、8.4.27、8.3.36、8.2.35四个新版本，修补编号为CVE-2026-109618和CVE-2026-109619的两个严重漏洞，安全圈把这组漏洞称为“PHP2Shell”。“全球70%网站危险”说的是PHP的装机面，而不是七成网站已经被攻击——这两个漏洞允许攻击者在没有任何账号密码的情况下，直接接管运行PHP的服务器。多数机构和个人眼下要做的，是把PHP升到官方已修复的版本。PHP官网
英国国家网络安全中心在补丁发布当天专门发出警报，提醒相关机构立即升级，来不及升级的考虑临时下线。针对该漏洞的网络攻击企图的报道于补丁发布当日开始流传，亚洲多国政府与企业紧急排查加固旗下网站。腾讯云、阿里云等国内云厂商同日发出漏洞通告，提醒用户排查业务中的PHP使用情况。新华网财联社
漏洞不在网站代码里，在PHP引擎自己身上
通常理解的“网站有漏洞”，指业务代码写得不严谨被人钻了空子。这次不一样：问题出在PHP解释器本身的内存管理。WordPress、Drupal、Laravel等所有跑在PHP上的程序，无论业务代码写得多干净，都站在同一块出了裂缝的地基上。
CVE-2026-109618的成因是内存耗尽处理出了错。官方通告描述，当请求恰好耗尽内存上限时，PHP的中断机制会在内部请求数据只完成一半初始化时就退出，随后的请求收尾流程会把这段无效数据当成有效数据使用。更棘手的是触发方式：一个不带有效长度声明的分块上传、一个塞满大量小字段的表单，都能在看似正常的限额内把内存耗尽。PHP安全通告
CVE-2026-109619则是典型的“释放后使用”：错误、会话等全局状态指向的内存已随上一个请求释放，指针却留在原地，同一个工作进程在下一个请求正常初始化之前先读到了这块过期内存，精心布局堆内存就可能执行任意代码。GitHub
危险程度体现在三点：无需登录、无需受害者任何操作，且攻击发生在应用代码执行之前——网站自己的登录校验和业务过滤还没来得及运行，攻击已经发生。在最常见的Apache mod_php环境下，默认配置已被验证可以达成完整的远程代码执行；PHP-FPM、php-cgi、FrankenPHP、LiteSpeed等运行方式同样在受影响范围内。一旦得手，攻击者拿到的是服务器进程权限，可以读取服务器内存和磁盘上的密码、登录令牌、接口密钥。GitHub安全公告
“70%”是怎么算出来的，又该怎么读
“全球约70%的网站”这一数字在报道中被反复引用，它的口径值得说清：据网站技术统计机构W3Techs 10月22日发布的数据，PHP被69.3%的“服务端语言已知”的网站使用——分母不是全网所有网站，而是能识别出服务端编程语言的那部分。不过对安全排查来说，统计口径几乎无关紧要，判断标准只有一条：你的服务器是不是在用PHP对外提供网页服务。是，就在影响范围内。W3Techs
财联社在10月22日的报道中同样援引了“约70%”的说法，并指出这组被命名为PHP2Shell的漏洞源于PHP内存管理机制中的一类问题。更现实的麻烦在版本上：这次修复覆盖8.5.12、8.4.27、8.3.36、8.2.35四个分支，而PHP 8.1及更早版本已停止官方更新，只能等Linux发行版或长期支持厂商的后移植补丁，官方只为7.4、8.0、8.1提供了有限的源码补丁。大量2010年代搭好后就没动过的老站、老主机面板，恰恰是这次最难升级的一批。财联社PHP官网
网站打不开，多半不是被黑了
这次“下线潮”的主角是主动避险的机构：英国预算责任办公室暂时将其网站下线，芬兰临时关闭政府公共网络服务，荷兰网络安全机构也将其网站临时下线。这类页面在修复完成后会陆续恢复，不是被黑客打瘫的。新华网
先给普通用户结论：不需要“给电脑打补丁”。某家常访问的网站突然打不开，先别当成被入侵——PHP运行在网站上，而不是你的个人电脑或手机里。个人信息是否受影响，以该网站事后发布的通知为准；一旦网站发出数据泄露公告，再按提示更换密码等即可。新华网
站长和自建服务的人，行动清单很短：马上升级PHP到上述四个修复版本，虚拟主机和面板用户通常等服务商推送即可；实在无法立刻升级的，官方给出了放宽内存限制、压低post_max_size、关闭会话上传进度等临时配置，但这些只能堵住部分攻击路径，不能算安全。通告里还有一个反直觉的提醒：不要用RLIMIT_AS或RLIMIT_DATA这类系统级内存上限来做防护——它会人为制造分配失败，恰好踩中漏洞本身的那条路径。PHP官网
发现得这么快，本身才是信号
这组漏洞的曝光方式标志着一种新常态：安全研究人员借助人工智能工具做代码审计，把在PHP核心里潜伏了十余年的缺陷挖了出来；OpenAI也称其“修补地球”（Patch the Planet）计划协助发现了这两项严重漏洞，并联合PHP维护团队、安全公司和云服务商协调发布。新华网微博
一家美国云安全公司的首席技术官戴恩·克内克特在社交媒体上说得更直接：这不会是最后一次，人工智能模型将不断在广泛使用的软件中发现类似漏洞，软件维护者、研究人员、服务提供商和政府需要一套新的共同应对方案。网站下线潮会过去，补丁会陆续装完，真正被推上台面的问题是：当发现漏洞的速度第一次快过修复和分发的速度，互联网的地基软件该怎么应对。对普通用户来说，值得留下的观察信号很简单——如果再看到大批网站“无故”同时下线，大概率不是黑客攻进来了，而是有人在攻击到来之前先关了灯。新华网
