10月21日晚上，很多运维没睡。荷兰、芬兰、法国多国政府网站主动下线。韩国上调网络安全警报，中国工信部 NVDB 也发了风险提示。不是演习，是 PHP 出事了。新华社第一财经
PHP 是什么？你访问的网页，背后服务器算页面、查数据库，很多都靠它。全球约七成网站跑在 PHP 上。WordPress、Joomla、Laravel 都在其中。36氪
洞不在你的代码里
这次的两个洞，CVE-2026-109618 和 CVE-2026-109619，安全圈叫 PHP2Shell。官方 CVSS 评分 9.2。攻击者不用登录，发一个特制的 multipart POST 请求，在特定条件下就可能触发内存破坏，最终在服务器上执行任意代码。36氪微博
更麻烦的是，洞不在你的网站代码里，在 PHP 引擎本身。它在业务代码跑起来之前就被触发，插件装得再干净、代码写得再漂亮，只要底层 PHP 中招，应用层根本挡不住。WordPress、Drupal、Joomla、Laravel 等主流 CMS 和框架都在影响范围内。第一财经
为什么这次这么吓人
范围太广：受影响的是 PHP 8.5＜8.5.12、8.4＜8.4.27、8.3＜8.3.36、8.2＜8.2.35，以及 8.1 及更早版本。PHP 5.4 以来的版本基本都跑不掉。第一财经
细节提前漏了：原定 22 日公开，20 日就有人在 Hacker News 爆料。演示视频和利用工具跟着传开。有厂商预判，补丁发布后 15 分钟内就可能出现大规模扫描。知乎微博
AI 把节奏拉快了：根因藏了十几年，这次是 Wiz 团队用 Gemini 4 Argon 和 GPT-5.6 Sol 等工具发现的。36氪
今晚能做的四件事
普通人先别慌：PHP 跑在服务器上，不在你的手机和电脑里，浏览网站不等于设备中毒。新华社
但自己管服务器、玩 NAS，或公司里管网站的人，今晚真该查一眼。
自己管服务器： 终端敲 `php -v`，升到 8.5.12、8.4.27、8.3.36、8.2.35 之一。PHP-FPM、Apache mod_php、LiteSpeed 都算，mod_php 风险最高。微博
用虚拟主机或托管 WordPress： 改代码、装插件都修不了，版本在主机商手里。去控制面板看版本，或直接问主机商。没补之前可先挂 Cloudflare，免费版也有规则，但它只管经过它的流量，攻击者直连 IP 照样能打。微博
还在 PHP 8.1 及更早版本： 官方已停止维护，只能升大版本，或找发行版、面板厂商的补丁。7.4/8.0/8.1 有源码补丁，但普通用户别自己编译，优先升级。
NAS 和自建服务： NAS 本体未必是 PHP，但 Web Station、Docker 里的 WordPress、Nextcloud、Typecho、Discuz 很可能是。进套件或容器查版本，能升就升；升不了，至少别把管理后台裸奔在公网。
实在升不了，临时可以关掉 `session.upload_progress.enabled`、做网络隔离或访问限制，甚至先下线。但 PHP 官方说得很直白：升级是唯一完整的修复。也别只改密码、只重启——这两个洞不需要你的密码，重启也不会把漏洞重启没。知乎
这次最该记住的，不是又一个 CVE 编号，而是：AI 挖洞的速度，已经快过很多人打补丁的速度。 普通用户不用恐慌，但手里有服务器的人，别再拖了。
