昨晚，一批网站在同一时间“拔了网线”。芬兰政府关掉所有对外网络服务，荷兰国家网络安全中心连官网都撤了，英国预算责任办公室、法国和德国部分政府站点也临时下线。另一边，FGO日服、赛马娘、碧蓝幻想、Pixiv、niconico 集体进维护。不是被黑，是大家在给同一个东西打补丁：PHP。36氪界面新闻微博
10月21日，PHP 官方紧急发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，修两个编号 CVE-2026-109618、CVE-2026-109619 的漏洞，合称 PHP2Shell。两个洞都藏在 PHP 内核里；不用登录，发一个特制请求就可能远程执行代码、拿到服务器控制权。它还能读走服务器内存里的密码、令牌和 API Key。界面新闻财联社Wiz
W3Techs 统计，能识别出后端语言的公开网站里，约 69.3% 用它。界面新闻Wiz
WordPress、Joomla、Drupal、Nextcloud、phpMyAdmin 这些你熟悉的名字，底层都可能是它。注意，这不是 WordPress 或某个插件的漏洞，是跑它们的 PHP 运行时本身出了问题。你逛的论坛、小店的付款页，甚至 NAS 上跑的博客和网盘，都可能在名单里。界面新闻Wiz
你手里的手机、电脑本身不会中招，PHP 跑在服务器上。网站打不开，可能是主动避险。界面新闻
要不要改密码？等网站发数据泄露通知，再按提示改。没收到通知就集体改密码，更多是给自己添堵。界面新闻
如果你自建过网站，或 NAS 上跑着 WordPress、Nextcloud、Typecho、phpMyAdmin，先查 PHP 版本。8.5 系升到 8.5.12，8.4 系到 8.4.27，8.3 系到 8.3.36，8.2 系到 8.2.35；还在 8.1 或更早的，官方没有补丁，只能迁。PHP 只为 8.2 到 8.5 四个版本发了正式修复，补丁发布前一天，仍有约 88 万台服务器在对外显示 PHP 8.1 或更老版本。工信部36氪
来不及升级的，按工信部的建议：临时下线、关闭会话上传进度功能、网络隔离、限制访问。只从 PHP 官网或系统官方源升级，别装来路不明的“一键修复包”。工信部
真正变了的，是“太累了所以安全”。过去很多老漏洞没人打，不是打不了，是打起来太费劲。AI 把这份“累”抹平了。36氪
Calif 的研究员把 GPT-5.6 Sol 当审计搭档，几天就找到第一个入口；找到之后，还能把方法打包成技能文件，再去找下一个。发现只花几天，修复花了两个多月。36氪
这不是 PHP 一家的事。Chrome 156 一个版本修了 353 个漏洞，一年前是 21 和 26 个。36氪
OpenAI 说，未来几个月类似的发现会急剧增加。AI 把攻防都加速了，留给防守方的窗口只会越来越短。36氪
以后看到网站集体维护，先别急着骂，可能只是运维在半夜打补丁。
