10月21日22点（北京时间），PHP官方安全团队提前紧急发布了8.5.12、8.4.27、8.3.36、8.2.35四个修复版本，修补的是两个允许未经身份验证的远程攻击者直接在服务器上执行任意代码、CVSS v4.0评分均为9.2（Critical级）的核心漏洞（CVE-2026-109618与CVE-2026-109619，研究者合称"PHP2Shell"）。微博知乎
补丁发布前后，芬兰国家IT服务机构Valtori将政府公共网络服务"作为预防措施"下线，荷兰政府网站引发连锁下线反应，《命运-冠位指定》《赛马娘》以及pixiv、Niconico、BOOTH等大批日本网站和游戏宣布紧急维护。知乎微博
这次冲上热榜的不是一次普通的"建议升级"，而是全球PHP生态在补丁落地前后十几个小时里的连夜集体应急。
这个洞为什么重：坏在引擎，不在你的代码
两个漏洞都出在PHP引擎的底层内存管理上：一个是请求处理中途发生内存耗尽（OOM）时，清理流程把只初始化了一半的内存当作合法对象继续解析；另一个是前一个请求释放内存后，内部全局状态仍然"残留"，同一个worker进程处理下一个请求时会先读到这块旧数据。两条路都不需要登录、不需要应用配合，攻击者在业务代码运行之前就能触发。官方公告也没有留余地——本次漏洞影响所有用于对外提供Web请求服务的PHP安装环境，PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed一个不落，其中默认多进程形态的mod_php受威胁评级最高。知乎
波及面同样罕见：按Wiz和Sansec的说法，2012年发布的PHP 5.4以来的版本都受影响，欧盟机构CERT-EU的措辞更宽，覆盖"从PHP 5开始的所有PHP版本"。 而PHP是WordPress、维基百科们脚下的地基，OpenAI引用的估算是约七成网站在用它；安全研究人员警告，攻击者无需逐一锁定目标，只需扫描整个互联网就能批量发现存在漏洞的服务器。微博知乎知乎
为什么等不了补丁：泄露、攻击与下线的十几个小时
更关键的是时间差。漏洞原计划10月22日才公开披露，但20日下午两个CVE编号就在论坛和社交媒体上流传开来，PHP官方当天发出公告、把修复版发布提前到21日——事情严重到连日本首相高市早苗当晚都专门发帖提醒。微博
Cloudflare首席技术官Dane Knecht在补丁发布前就表示攻击已经出现，公司正持续更新防火墙规则作为过渡措施，但强调"这仅是权宜之计，应尽快打补丁"；安全公司watchTowr则称已有人用AI辅助编写的工具发起攻击。知乎
对来不及打补丁的机构，CERT-EU给出的建议是把无法立即修补的面向互联网应用直接与公共网络隔离，直至修复程序可用——所谓"多国紧急下线"，正是在攻击已经开始、补丁尚未就位的窗口里，被官方建议背书的避险动作。知乎
手上跑着PHP，现在该做什么
自己管理服务器的管理员：升级到上述4个修复版本之一，并且必须重启php-fpm或Web服务器进程——官方通告特别提醒，常驻内存的旧worker不退出，补丁等于没生效。 PHP 8.1及更早版本官方已停止维护，不出预编译包，只给了7.4、8.0、8.1的源码补丁，用Ubuntu、Debian等发行版自带PHP的用户要盯发行版的安全更新。知乎微博
用虚拟主机或托管WordPress的普通站长：PHP由主机商管，装插件、改网站代码都修不了这个问题，正确动作是到控制面板确认当前PHP版本，或直接问主机商底层补了没有。 伦敦国王学院高级研究员Lukasz Olejnik警告，随着人工智能辅助黑客行动近期激增，漏洞利用可能在大规模、即时的层面上迅速蔓延；官方给出的临时配置调整（放开memory_limit、压缩上传相关参数、关闭会话上传进度等）只能降低风险，PHP官方明确升级才是唯一完整的解决办法。微博知乎
另一条暗线：AI把"理论上危险"拆成了"今天能打"
这次事件在安全圈引发的讨论，比漏洞本身更长。据OpenAI和Sansec披露的时间线，安全公司Calif的研究员8月11日就把漏洞报给了PHP；Wiz也独立发现并上报，用的是Gemini 4 Argon和GPT-5.6 Sol等模型。 OpenAI则把这次行动称为「防御者窗口」——AI抢在攻击者前面找到洞，防守方才有时间把墙补上。微博知乎
有安全从业者的复盘指出，这类问题并不是从没被看见：2024年由OSTIF出资、Quarkslab执行的审计就摸到过同一处，结论是理论上可利用、但没有可用的利用路径，于是被搁置。 改变的不是洞，而是把它串成武器的成本——正如伦敦国王学院研究员所警示的，AI辅助攻击手段正在扩散，利用可能在大规模、即时的层面上迅速发生。 这次靠协调披露保住了先手，下次未必有这么好的运气。知乎知乎
截至北京时间22日凌晨，四个修复版本已在PHP官方下载中心全部上线，EOL老版本系统的修补仍依赖发行版更新；对所有仍把PHP升级排在"能跑就别动"清单末尾的运维者，这个夜晚是个例外。
