2026年10月21日，PHP官方紧急发布8.5.12、8.4.27、8.3.36、8.2.35四个安全版本，修补编号为CVE-2026-109618和CVE-2026-109619的两个可被未认证远程利用的严重漏洞，安全圈将这一组合称为"PHP2Shell"。由于漏洞细节在补丁到位前已经外泄，芬兰已作为预防措施将政府公共服务下线，荷兰出现大范围连锁反应，日本pixiv、Niconico、BOOTH等平台宣布紧急维护。PHP官网华尔街见闻游研社
问题出在语言核心，所有建站形态一个都躲不掉
PHP官方公告把风险范围写得没有余地：只要用PHP处理网页请求就受影响，无论以PHP-FPM、Apache的mod_php模块、php-cgi、FrankenPHP还是LiteSpeed方式运行；其中mod_php被点名为风险最高——官方已演示利用漏洞，攻击请求可以在网站自身业务代码执行之前就触发，应用写得再干净，底层运行时不设防。腾讯云安全中心给出的攻击路径是：未经身份验证的远程攻击者通过发送特制的multipart POST请求，触发内存破坏并最终实现远程代码执行，从而完全控制服务器。PHP官网新浪财经
真正的时间差：细节先跑了，补丁还在路上
危险窗口由时间线造成。PHP安全团队10月20日发布预告，定于次日14:00 UTC（北京时间21日22:00）放出修复版本，并说明两个漏洞在CVSS v4.0标准下均评9.2分。但PHP官方随后在声明中确认，10月20日约UTC时间15:00起，两个CVE编号已在论坛和社交媒体上流传。在补丁发布前的空窗期，Cloudflare首席技术官Dane Knecht公开表示攻击已经出现，公司正持续更新防火墙规则作为过渡措施，并强调这只是权宜之计、应尽快打补丁。PHP官网财联社华尔街见闻
为什么是PHP：三十年前的选择没有退出机制
一个1994年诞生的脚本语言至今没有退居历史，原因不是它更先进，而是互联网没有为它准备退出机制。W3Techs 2026年10月的统计显示，在能识别出服务端编程语言的网站中，69.3%使用PHP；维基百科、WordPress.org以及大量电商和后台系统都跑在这套引擎上，迁移意味着重写或替换整套业务系统，这笔成本没有因为语言"老"而变小，所以绝大多数运营方从未离场。这既是PHP仍是互联网基石的原因，也是单个核心漏洞能同时波及多个国家的根本原因。W3Techs
此次漏洞由AI参与发现也属于同一个故事：谷歌确认其Gemini 4 Argon参与了漏洞发现、漏洞利用程序开发、攻击检测和补丁验证工作。OpenAI则称这是近期影响最大的漏洞之一，并承诺提供10亿美元补贴访问额度支持防御者。AI把挖掘老旧代码库的门槛打下来之后，运行了三十年、从未重写的核心代码，正成为最先被机器翻新的目标。财联社金融界
无补丁可打的那三分之一，现在怎么办
补丁覆盖面与真实版本分布之间存在缺口。W3Techs同日统计显示，使用PHP的网站中只有65.2%运行PHP 8这个主版本，意味着超过三分之一仍停留在官方已停止常规支持的旧引擎上，而这次漏洞影响的恰恰是从PHP 5起的核心运行时。官方也没有留下侥幸空间：PHP 8.1及更老版本不再接收更新，安全团队只为7.4、8.0、8.1准备了最小化源码级回补，帮助自行从源码编译或没有长期支持厂商兜底的运营方；配置层面的临时缓解只能降低特定攻击路径的暴露，升级才是完整解法。W3TechsPHP官网
对仍在线上的PHP服务，判断风险只需三步：确认服务器上所有仍对外处理Web请求的PHP实例及其版本，8.2及以上立即升级到对应安全版本；更老版本优先走发行版或云厂商的修复包，其次按官方源码回补处理；暂时无法升级的，套用官方临时缓解并认真评估下线窗口——各国政府机构的处置顺序已经给出了示范。
