北京时间10月21日晚10点，PHP官方发布8.5.12、8.4.27、8.3.36、8.2.35四个安全版本，修复核心引擎里的两项未授权远程代码执行漏洞，编号为CVE-2026-109618和CVE-2026-109619，两者的CVSS危险评分均为9.2分，安全社区把这对漏洞合称为PHP2Shell。先给结论：出问题的是网站背后的服务器，不是你手里的手机。正常打开网页、下单、用小程序，这个漏洞不会让设备"中招"；真正被威胁的，是那些还没修复的网站存在服务器里的账号、密码和登录凭证——安全公司Wiz已经验证了从内存中读取这些信息的攻击路径。PHP官网360漏洞研究院新智元
漏洞藏在PHP自己的"账本"里
多数网站被黑是因为网站代码写错，这次不同：缺陷位于PHP引擎处理内存的最底层，网站程序本身写得再干净也在射程之内。PHP官方给出的风险名单是所有处理Web请求的PHP安装，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed，其中mod_php被评估为风险最高，因为已有演示表明未经身份验证的请求可以在网站自己的代码运行之前就触发攻击。理论上，一个页面只写着一行"Hello World"也可能中招。PHP官网
两个漏洞的机制，可以理解为引擎记错了"账"。一条路径发生在内存耗尽时：Calif披露的一条攻击路径中，不到8MiB的请求数据，处理时却足以耗尽PHP默认128MiB的内存额度，程序中断去报错时，一条只填了一半的记录计数却已经加好，清理环节便把无效数据当成有效内容。新智元
另一条涉及跨请求残留：一个请求结束后，工作进程仍可能保存指向已释放内存的引用，后续请求在正常初始化之前就读取了这些失效状态，也就是"释放后使用"。两条路径殊途同归——让攻击者在没有账号密码的情况下，驱动服务器执行任意代码。360漏洞研究院
电商网站和小程序：先分清"服务器"和"你的手机"
这条新闻里最容易误读的是"影响七成网站"：按W3Techs统计，在其能识别服务端语言的网站中，69.3%使用PHP，WordPress、Drupal、Joomla等主流建站和商城系统都建立在这层引擎之上。攻击者因此不必逐一锁定目标，扫描互联网就能批量发现存在漏洞的服务器。新智元华尔街见闻
国家层面的反应是最快也最重的：10月21日，荷兰国家网络安全中心NCSC选择先关站、等修复，日本财务省同样停了官网的部分内容和服务。在芬兰，国家IT服务提供商Valtori表示，政府公共网络服务已"作为预防措施"下线。新智元华尔街见闻
消费端当晚就有动静：受PHP严重安全漏洞影响，多款游戏宣布实施维护，BOOTH、Niconico、pixiv、DMM、GSC等官方网站也进入紧急维护——这份名单里，游戏和创作者电商、内容平台混在一起。游研社
落到普通用户，判断其实可以很简单：小程序本身不执行PHP。PHP是服务器端语言，小程序前端运行在社交客户端内部，网页也在你的手机上执行，这两端都不受这个漏洞直接影响；风险藏在平台背后的服务器——如果商家后台或自建商城跑着未修复的PHP，被入侵后被读走的是账号、密码和登录令牌。至于你常用的平台修没修，外人不该猜，看官方公告就行：平台发布紧急维护通知，通常是正常补洞，不等于被黑；一旦公告承认发生安全事故或提醒你改密码，立即修改该站密码，重复使用的密码一并改掉，并给重要账户开启两步验证。你不需要、也不应该去装任何第三方"PHP漏洞修复工具"，这个洞只能由网站运营者升级服务器软件来堵。
如果你是建站、运营商城或小程序后台的那个人，责任就在你身上。PHP 8.1及更早分支官方已不再提供常规更新，PHP团队只为7.4、8.0和8.1准备了最小范围的源码修补，供发行商和长期支持服务制作更新包。官方也列了无法立即升级时的缓解措施，但措辞毫不含糊：这些手段只能减少特定攻击路径的暴露，并不能让安装变得安全，只有升级才是完整解决方案。新智元PHP官网
云厂商已经跟进。腾讯云安全中心向云上用户发布了风险通告，把攻击形态描述为发送特制的multipart请求。OpenAI放出的Codex检查项可以帮你确认PHP版本是否受影响，但它只查版本、不替你升级，连版本都查不到也不等于安全。360漏洞研究院22日凌晨的通告补充了一个判断边界：其已可稳定复现崩溃，但已公开的利用链还不算通用。这不是拖延升级的理由——补丁已经发布，装上即可。凤凰网科技新智元360漏洞研究院
AI挖出的洞，还在排队
发现过程本身是这场风波的另一条主线。在OpenAI的"修补地球"（Patch the Planet）计划中，Calif研究者Ryan Austin从7月30日开始借助GPT-5.6 Sol模型审计PHP，到8月1日就找出了多条远程攻击路径，随后让模型把新发现的错误模式写成可复用的审计指引，顺藤摸瓜又挖出第二个漏洞。新智元
安全公司Wiz独立发现了同样的问题，其研究员Sagi Tzadik在X上写道："AI干了这里的大部分工作。"修复是一场持续约两个月的秘密协作：由OpenAI牵头协调、PHP维护者主导，团队最终连PHP中止工作的时机都改了，设下软、硬两道内存上限，防止"半成品"数据被当成有效内容继续使用。新智元
保密在最后一刻崩了盘：20日晚，两个漏洞编号提前在网上流传；21日凌晨，PHP团队提前发出预告，把正式发布往前挪了整整24小时。Cloudflare首席技术官Dane Knecht在21日下午就表示，已经看到了早期攻击，公司正随新攻击向量的出现持续更新缓解措施，但强调这只是临时手段，补丁出来就得安装。攻击者甚至已经在改换请求，试图绕过防护规则。新智元华尔街见闻
OpenAI已经预告：PHP只是团队已发现、正在修复的多项重大漏洞之一，未来几个月这类发现预计还会显著增加。对普通用户来说，这意味着"连夜补洞"会成为数字基础设施的常态。与其焦虑，不如把两件事变成习惯：关注常用平台的安全公告，以及给重要账户开两步验证。新智元
