10月21日，PHP官方发布8.5.12、8.4.27、8.3.36和8.2.35四个版本，明确表示它们修复了两项可被未授权远程执行代码的严重漏洞。漏洞编号为CVE-2026-109618与CVE-2026-109619，CVSS 4.0评分均为9.2分，社区统称"PHP2Shell"。影响有多大，首先取决于PHP的覆盖面：在全球能识别出服务端语言的网站中，69.3%跑在PHP上。对网站运营者来说，结论直接：升级PHP引擎本身并重启全部进程是唯一的完整解法，任何配置层面的措施都替代不了它。PHP官网AI范儿新智元
漏洞出在引擎层：网站代码还没执行，攻击就已完成
两个缺陷都埋在PHP核心的请求解析与内存管理里，不在任何一个网站应用内。CVE-2026-109618源于内存耗尽时的异常中断：PHP会在内部请求数据只完成了一半初始化时被掐断，请求清理阶段就可能把无效数据当成有效记录处理。CVE-2026-109619则是跨请求的"旧记录"问题：一次请求异常结束后内存已释放，进程的全局状态里却仍留着指向它的地址，同一个工作进程处理下一个请求时，可能在正常初始化重置之前先读到这份失效状态。PHP官网360漏洞研究院
最要命的是时机。官方公告把Apache的mod_php列为风险最高的部署形态：存在已证实的利用方式，未认证请求在任何应用代码运行之前就能触发攻击，网站自身的代码写得再谨慎、登录校验卡得再严都拦不住。安全公司Wiz用当时最新的WordPress、Drupal、Joomla镜像搭建测试环境，复现了无需登录的远程攻击，还验证了从内存中读取密码、令牌和API密钥的攻击路径。360漏洞研究院已能稳定复现两个漏洞导致的崩溃，同时提醒：公开流传的RCE利用链尚不具备通用性，仍在进一步分析验证中。PHP官网新智元360漏洞研究院
藏了十余年的老洞，AI只用一周串成了攻击链
这些缺陷远比事件本身老旧：PHP基金会承认，早在2024年的一次安全审计期间，开发人员就已经发现了相关内存管理隐患，却始终未能完成全面修复——攻击路径证明不了，修复又牵动兼容性，只能反复搁置。转折出现在今年7月30日：安全公司Calif的研究者开始审计PHP，参与的是OpenAI发起的"Patch the Planet"计划，用AI帮开源项目找洞、修洞。云头条新智元
公开披露的信息里，OpenAI官方确认了这次事件的分工：Calif借助GPT-5.6 Sol发现PHP严重漏洞，Wiz独立发现并报告两项漏洞，PHP维护团队主导修复。Wiz研究员Sagi Tzadik说得更直白，AI干了这里的大部分工作。过去要一支顶尖团队干几个月的活，现在一个研究员一周就能完成——AI压低的既是"隐患变实锤"的门槛，也是"实锤变武器"的门槛。云头条新智元AI范儿
披露在48小时里连环失守，攻击赶在了补丁前头
各方原本约好10月22日统一公开漏洞并发布补丁，披露过程却在最后阶段出了岔子：10月20日，两个漏洞编号已提前在网上流传，还混着错误的发布时间和评分。云头条
21日凌晨3点半，PHP团队提前发出安全预告，把正式发布整整往前挪了24小时。但失守还在继续：到21日下午，含修复的构建镜像也提前公开，外界已可对比新旧代码反推漏洞原理。攻击也比多数人的升级动作来得更早：Cloudflare首席技术官Dane Knecht在补丁发布前就确认攻击已经出现，公司正持续更新防火墙规则作为过渡措施。在野利用是否已经铺开，各方说法尚未统一：美国CISA称还没观察到，另有安全专家认为已经有人在利用；把网传的大量PoC挨个看过的研究员Marcus Hutchins的结论是，大部分根本跑不起来，但确实有一个能用。新智元华尔街见闻AI范儿
国家级响应：网安机构先关站，首相出来催补丁
10月21日，荷兰国家网络安全中心NCSC选择先关站、等修复，荷兰司法系统的招聘与培训机构网站、给记者传送庭审信息的文件信箱一并暂停。在芬兰，国家IT服务提供商Valtori表示政府公共网络服务已"作为预防措施"下线；据路透社报道，欧洲等地一批政府网站当天主动下线。日方把响应做到了首相一级：财务省暂停官网部分内容并紧急安装修复，首相高市早苗公开敦促当晚就打补丁、来不及先把网站停掉，美国FBI与CISA也同日发布提醒。新智元华尔街见闻AI范儿
响应之所以升级到国家层面，是因为暴露面足够大：PHP是WordPress等主流建站平台的底层引擎，攻击者无需逐一锁定目标，扫描互联网就能批量发现脆弱服务器。扫描公司Censys的数据显示，公网上约有5490万个网站运行在PHP上。华尔街见闻AI范儿
今晚该查的三件事：引擎版本、进程、镜像
官方公告划定的风险面是所有处理Web请求的PHP安装——PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP、LiteSpeed都在列，8.2到8.5分支须分别升至8.2.35、8.3.36、8.4.27、8.5.12。要升级的是PHP引擎本身，只更新WordPress、Drupal这类站点程序没有用，漏洞在网站代码执行前就已生效；升级后重启全部php-fpm、Apache等PHP进程，容器化部署需重新构建业务镜像，并确认容器内实际运行的版本。PHP官网
8.1及更早分支的处境更难：PHP 8.1及更早版本已不再接收PHP项目的官方更新，这次官方只为7.4至8.1准备了最小范围的源码补丁，需自行编译或等发行版、长期支持厂商打包。PHP官网
实在当晚无法完成升级的，公告列出一组临时措施——以应用无法覆盖的方式将memory_limit设为-1、压低post_max_size上限、关闭会话上传进度、在8.5上关闭致命错误回溯——但公告原话说得很明白：只有更新才是完整方案，上述措施只能降低特定攻击路径的暴露。OpenAI也已放出Codex技能帮运营者检查PHP版本是否受影响，注意它只查版本、不替你完成升级。PHP官网
更值得留意的是，OpenAI已经预告：PHP只是团队已发现、正在修复的多项重大漏洞之一，未来几个月这类发现还会显著增加。AI把漏洞发现从"数月"压到"几天"，协调披露的保护期又被泄密压缩到极限——对所有还在运行PHP站点的运营者来说，"今晚补洞"的演练只会越来越频繁。新智元
