2026 年 10 月 21 日晚，PHP 官方紧急发布了四个安全版本 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12，修复两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞——CVE-2026-109618 和 CVE-2026-109619，安全界统称它们为 PHP2Shell。官方公告的措辞罕见地强硬：没有任何完整的缓解措施，升级是唯一安全的选择。让这次事件与众不同的，是它发生的顺序：缺陷在引擎里沉睡了十余年，直到被 AI 辅助挖出并武器化；补丁上线前一天，漏洞信息先行泄露，官方被迫把发布整整提前了 24 小时，而在野攻击来得比大多数运维拿到更新包更早。据央视转引《华尔街日报》报道，该漏洞可能使黑客控制基于 PHP 运行的服务器、窃取信息。它的影响半径接近七成互联网，而其中约 88 万台暴露在公网的 PHP 主机，跑在已经等不到官方二进制补丁的版本上。知乎数字生命卡兹克微博
漏洞长在引擎里，代码写得再干净也没用
两个洞都出在 PHP 核心引擎的内存安全上，跟任何插件、主题或业务代码无关。PHP 解释器用 C 编写，内存靠“手工记账”：CVE-2026-109618 的问题是引擎在插入哈希表时“先记数、后填数据”，如果内存恰好在两步之间耗尽，清理流程会拿着已加过的计数，把半初始化的内存当成有效数据处理；CVE-2026-109619 则是上传进度解析中途出错，内存已释放、内部指针却还留着，同一个工作进程处理下一个请求时，会照着旧地址碰到别人的数据，即典型的释放后重用。攻击者不需要任何账号密码，漏洞在请求解析阶段触发，早于应用代码执行，页面哪怕只写了一行“Hello World”也在射程之内，凡处理 Web 请求的 PHP 安装皆在其中，mod_php 风险最高。它们还附赠一个类 Heartbleed 的内存泄露面：已释放的工作进程内存可以被还原成响应里的 PHPSESSID 回给攻击者，里面可能有其他用户的密码、令牌、API 密钥甚至 TLS 私钥。知乎知乎·实测
Wiz 团队已把漏洞整合成单一利用脚本，在 WordPress、Drupal、Joomla 的最新官方容器镜像上完整复现了无需认证的远程代码执行；Calif 公开的工具则进一步确认了 Magento、MediaWiki、phpMyAdmin、Nextcloud、Laravel 等十余类应用上的同款攻击路径。CMS 升到最新、业务代码写得再干净都没用——这就是“引擎级”三个字的分量。黑客联盟
AI 用几天挖出来的雷，人类搁置了两年
这两个“新”漏洞都不新。2004 年，德国研究员 Stefan Esser 就发现过 PHP 第一个与内存上限有关的远程漏洞；2024 年 OSTIF 出钱、Quarkslab 做的审计又摸到了同一类问题，结论是“理论上能利用，但没有可用的利用路径”，修复继续被搁置。以人类研究员的能力衡量，这个判断在当时站得住：把一堆半初始化的指针接成一条执行链，难度确实卡在极限附近。知乎
墙是被 AI 拆掉的。安全公司 Calif 研究员 7 月 30 日开始审计 PHP，到 8 月 1 日多条远程攻击路径就被找了出来。过程中，模型把刚发现的错误模式写成可复用的审计指引，智能体照着同一条线索又挖出了第二个洞；Wiz 也独立发现了这两个漏洞，其研究员在复盘里写道，AI 干了这里的大部分工作。按央视转引《华尔街日报》的说法，是今年 8 月，Calif 的研究人员借助 OpenAI 的模型 GPT-5.6 Sol，在审查 PHP 源代码时发现了这一漏洞。新智元微博
找洞用了几天，修洞用了近两个月：OpenAI 牵头协调，PHP 维护者主导修复，最终连引擎中止工作的时机都改了，设下软、硬两道内存上限——触及软限制就等程序走到安全位置再处理，触及硬限制直接让进程退出。把“两天”和“两个月”放在一起，就是这次事件的全部要害：发现漏洞的成本正在崩塌，修复漏洞的成本一分没降。新智元
泄露之后的生死 48 小时
原定北京时间 10 月 22 日晚十点统一发布。20 日夜里 11 点多，Hacker News 上冒出一条帖子，说有两个 CVSS 10.0 的 PHP 远程代码执行漏洞即将公开，发帖人自称没有任何证据，几个小时后被安全公司 watchTowr 确认属实。正式评分其实是 9.2，“满分 10.0”是泄露时就被传歪的信息，但官方已来不及纠偏，PHP 团队提前发出预告，把正式发布往前挪了整整 24 小时。数字生命卡兹克新智元
预告发出约半小时，攻击演示视频也漏了——PHP 基金会复盘称，参与发现的 Calif 误发了演示，视频很快删除，副本已经传开。次日上午，做容器镜像的 Chainguard 又单方面提前六个多小时公开了打好补丁的镜像，PHP 基金会公开批评其“无视了多方数周的协调工作”——新旧版本一对比，漏洞位置等于公开给所有人预读，而此刻大量站长还没拿到能直接安装的更新包。当天下午三点四十三分，Cloudflare 首席技术官 Dane Knecht 发帖确认已经看到早期攻击，攻击者已在改写请求尝试绕过防护；Cloudflare 给自家 WAF 客户部署了临时规则，同时强调补丁出来必须装。新智元数字生命卡兹克知乎·安全观察
21 日晚十点，四个修复版本上线，此时大规模扫描与真实利用已经开始——AWS 的表述是：PHP2SHELL 目前正在被广泛利用于实际攻击中。知乎·AWS情报
七成网站为什么离不开 PHP，又为什么搬不动
先把数字说准：按 W3Techs 的统计，在能识别服务端编程语言的网站里，69.3% 使用 PHP；OpenAI 的说法是 PHP 支撑着估计约 70% 的网站——这是“语言占比”，不是“全部网站占比”，但足以解释为什么一次 PHP 爆雷等于半张互联网震动。新智元
离不开 PHP 不是技术判断，是经济结构：便宜好用，主流虚拟主机默认内置 PHP，改完代码刷新即生效，一台小服务器能跑多个站点；迁移太贵，老代码与老版本 PHP 深度耦合，升级等于全站回归测试，迁移等于重写；维护无人，大量长尾站点早已没有值守的人。一位从业二十年的工程师复盘这次事故时写得直白：PHP 的升级永远排在最后一档，“能跑就别动”这四个字，养活了半个运维行业。知乎
存量风险有多大，10 月 20 日的一份 Shodan 横幅统计给了个切面：全球约 220 万台以上暴露的 PHP 主机中，落在将获修复的 8.2–8.5 分支的约 61.2 万台，PHP 5.x、7.x、8.0/8.1 合计约 88.4 万台——这些分支官方已不再发布二进制更新包。知乎·安全观察
要注意这组数字统计的是主机而非网站——共享主机上一台失守，背后往往是成千上万个站点；另有约 74 万台主机干脆隐藏了版本号。安全观测站
更直观的佐证是 CMS 生态：WordPress 官方数据显示，35.1% 的 WP 站点仍运行在 PHP 已不再维护的版本上；反过来说，Debian、Ubuntu、RHEL 等发行版会把安全补丁回溯移植进旧版本包，是否真的“裸奔”要以供应商公告为准。知乎
所以“离不开”的准确表述是：原理上能离开，短时间里搬不动——没人敢搬、没人会搬、也没人出钱搬。而补丁窗口只覆盖最后四个分支、8.2 也将在今年 12 月 31 日结束支持，说明“产生无法修补的存量”的这台机器，本身还在运转。知乎
关站潮是硬币的另一面：21 日这一天，荷兰的数字身份系统、议会网站，连国家网络安全中心 NCSC 自己的网站都挨个下线；日本财务省停了官网部分内容与服务紧急排查；BOOTH、Niconico、pixiv、DMM 等多家日本平台宣布紧急维护。美国人力资源软件公司 BambooHR 直接停服，提醒客户发薪业务可能受影响；日本首相高市早苗在 X 发文，建议网站运营者尽快应用补丁、难以应用时临时停止网站。对一个补不上补丁的系统来说，预防性下线不是恐慌，是理性选项。微博·游研社数字生命卡兹克
站长现在该做什么
升级是唯一完整方案：8.5 升 8.5.12、8.4 升 8.4.27、8.3 升 8.3.36、8.2 升 8.2.35，升级后重启全部工作进程；8.1 及更早没有官方包，PHP 安全组给 7.4、8.0、8.1 发布了最小源码 backport，只能自行编译或等发行版更新。核对版本时别只信命令行——php -v 显示的版本和网站实际运行的 FPM 版本可能不是同一个。知乎知乎
所有临时缓解，官方都明确标注“不完整、只能争取时间”，网传教程里还有个坑：传得最凶的“关掉 session.upload_progress 就安全了”，只管 CVE-2026-109619 的 session 路径，对 CVE-2026-109618 一个字都不管；在 Web 服务器层拦截 multipart/form-data 请求会让所有上传功能失效，只适合应急。实在升不动的，欧盟应急响应团队 CERT-EU 和 PHP 核心开发者的建议一致：升不了就先把对外 PHP 应用摘出网络或改为只读。OpenAI 也已放出检查工具帮站长核对版本，但它只查版本，不能替你完成升级。知乎知乎·安全观察新智元
这次事件真正改写的规则是：过去靠“利用太复杂、没人搞得定”获得安全的老旧缺陷，正在被 AI 逐个低成本点亮，OpenAI 已预告 PHP 只是其发现、正在修复的多项重大漏洞之一，未来几个月这类发现预计还会显著增加。当“发现”和“被利用”之间的缓冲期从几年缩到几周，知道自己跑着什么版本、能在几小时内完成升级，正在从运维基本功变成最贵的一种资产。新智元
