10月21日晚上，荷兰、芬兰、奥地利、法国等数十个国家和地区的政府网站接连下线，日本的银行、铁路、航空公司也暂停了在线服务。这场全球集体关站的起因，是PHP爆出了一个严重漏洞。华尔街见闻北京质量报告
漏洞编号有两个：CVE-2026-109618和CVE-2026-109619，研究者管它们叫"PHP2Shell"，官方严重性评分9.2（满分10分）。狠的地方在于：攻击者不需要任何账号密码，就能在服务器上执行任意代码——密钥、密码、数据库，全都能拿走。赛博帕鲁
而PHP跑在全球约七成已知服务端语言的网站上，Palo Alto Networks排查出的暴露实例超过2260万个。WordPress、Drupal、Joomla这些主流建站系统，全在波及范围里。华尔街见闻
这个洞藏了14年，人类为啥挖不出来
漏洞的根因最早能追到2012年发布的PHP 5.4.0。不是没人看过：2020年就有研究员报过相关的内存问题，没引起重视；2024年OSTIF和Quarkslab做源码审计又把它翻了出来，但因为证明不了能被实际利用，还是没修。denishua
利用链太复杂，人只能理论推演，找不到具体走法。
真正把它够下来的是AI。安全公司Calif加入OpenAI发起的"Patch the Planet"（修补地球）计划，在大模型协助下于8月1日发现了漏洞。他们随后花了两个月配合PHP官方、Wiz和Cloudflare准备修复，Wiz也借助自研AI漏洞研究工具和Gemini等模型独立找到了漏洞。参考消息赛博帕鲁
Wiz的报告里有句话很扎心：借助前沿AI模型和合适的工具，一名研究员一周就干完了过去世界级团队几个月的活。华尔街见闻
补丁落地当天，攻击已经百万次
披露过程本身就够戏剧化。原定10月22日公布，结果漏洞编号提前在论坛流传，发现团队还误发过一段演示视频，PHP官方只好把补丁提前到21日，一口气放出8.5.12、8.4.27、8.3.36、8.2.35四个修复版本。赛博帕鲁
但攻击者更快。据亚马逊威胁情报，最早的利用尝试10月17日就出现了——比补丁早了4天。Cloudflare的数据是：披露前10小时已有数千次利用尝试，公告后2小时内涨到数十万次，随后冲到数百万次。赛博帕鲁华尔街见闻
逻辑不难懂：补丁一公开，AI工具就能毫不费力地反推出漏洞在哪，黑客会抢在你打完补丁之前动手。工信部也已在22日发布紧急提示，要求相关单位立即排查升级。参考消息华尔街见闻
如果你的站点跑着PHP，现在做三件事
立即升级到8.5.12 / 8.4.27 / 8.3.36 / 8.2.35等修复版本；
PHP 8.1及更早已停止支持，官方不会再给补丁，升不了就先下线或上WAF顶住（Akamai、360等厂商已推送防护规则）；
别以为跑FPM就没事：PHP-FPM的站点处境稍好（工作进程崩了会直接丢弃重建），但WordPress里一次普通的maybe_unserialize()、phpMyAdmin里一次session_start()，照样能踩中漏洞。denishua
最后说句扎心的
过去我们默认，"复杂到人类利用不了"约等于安全。PHP2Shell把这个假设打碎了：人类够不着的，AI够得着。
你那套跑了多年、没人敢动的老系统，在AI眼里已经清清楚楚。墙没了，攻防两边手里都有同款工具——区别只在谁先动手。
