PHP"世纪漏洞"进入第五天，结论已经可以给出来：这确实是近年影响面最大的互联网基建漏洞之一——两个潜伏在PHP解释器内核的未授权远程代码执行漏洞已于10月21日修复，官方版本覆盖8.5.12、8.4.27、8.3.36、8.2.35，官方评定的严重程度为CVSS 9.2分，不需要账号密码就能远程利用。但热搜词条需要拆开看："世纪漏洞"是媒体加冕而非官方评级，"70%网站"有特定统计口径。截至发稿，真正在大规模发生的是以百万计的利用尝试：公告发布后不到一日，攻击尝试就达到了数百万次的规模。 这是尝试，不是已被确认的普遍沦陷——截至10月22日的行业汇总中，尚无公开记录的真实受害者成功入侵。真正的危机在于：打了补丁，不等于结束。APPSO环球时报知乎
漏洞在引擎的肠子里：只跑"Hello World"也中招
这两个漏洞编号CVE-2026-109618和CVE-2026-109619，安全社区给它们起的绰号是"PHP2Shell"——攻击者不用获取管理员权限，只要向网站服务器发送几个特殊的请求，就能在服务器上执行自己的代码。前者出在PHP处理"内存耗尽"的方式上：引擎在资源耗尽时会粗暴地"急刹车"（longjmp），如果刹车恰好踩在微妙时刻，内部数据只初始化了一半，后续清理流程却把它当作有效数据处理；在PHP最常见的Apache mod_php部署方式下，官方已验证这种攻击在网站自己的代码开始运行之前就已经触发。后者则是跨请求的全局状态没有清干净，工作进程处理下一个请求时再次用到已经失效的内存，这种经典的"释放后使用"堆叠起来不仅能执行代码，还可能从内存里带走其他用户的密码和令牌——两者的共同点是都与内存安全有关：前者与内存耗尽时的异常处理有关，后者与跨请求状态清理不完整有关。三易生活APPSO知乎
这就是它比一般"PHP网站被黑"可怕的地方：过去出事的多是某个插件、某个应用，这次漏洞位于解释器内核，和上层应用无关。用发现者之一、谷歌旗下Wiz的话说，“哪怕你的网站上只跑着一个HelloWorld，也照样受影响”——Wiz已在Drupal和WordPress的官方镜像上验证了无需登录的远程代码执行。APPSO
那么词条里的"七成"从何而来？W3Techs的统计口径是：在可以识别服务端技术的网站中，69.3%使用PHP，第二名JavaScript只有8.1%。这个接近七成的数字在传播中被简化成了"互联网上七成网站用PHP"——它衡量的是"可识别技术的网站"，并不等于全网七成的站点都陷入危机。而你的站点是否真正暴露在攻击面内，还取决于部署方式、配置、扩展及应用行为，已验证的mod_php路径只是最典型的一类，PHP-FPM同样需要纳入排查。APPSO知乎
补丁发布五天，已经出现三道裂缝
第一道裂缝：修复只覆盖PHP 8.2到8.5四个分支。W3Techs同日数据显示，全部PHP网站里仍有27.0%跑在PHP 7.x、7.7%跑在PHP 5.x，这些早已停止维护的版本拿不到官方补丁。网上随之流传"互联网三分之一永久完蛋"的说法，负责为全球主流发行版打包PHP的捷克工程师Ondřej Surý回应称这一说法不准确、老版本也有办法打补丁——但前提是你知道怎么补、有人给你补。APPSOInfoQ
第二道裂缝：补丁之后又冒出新洞。10月23日，PHP开发团队宣布又发现一个CVSS v4.0评分高达9.2的RCE漏洞，编号CVE-2026-115560，触发条件是会话序列化与默认开启的"上传进度"功能叠加，且10月21日刚发布的修复版本并不包含这一问题的修正。在此之前，官方与安全厂商给出的临时缓解都是同一件事：在请求解析前生效的服务配置中设置session.upload_progress.enabled=0。热搜标题里"安全补丁又出问题"，对应的正是这类"修了一版、仍有洞没堵全"的连锁。HKEPC知乎
第三道裂缝：披露过程自己击穿了防守窗口。原定10月22日的协调披露被迫提前——10月20日凌晨，HackerNews上突然曝出"PHP存在两个CVSS评分10.0的远程代码执行漏洞"的帖子，尽管"满分"之说并不属实（官方最终确认为9.2），泄露已让PHP团队把发布提前到10月21日晚。当晚，参与发现漏洞的Calif误发了一段攻击代码在真实目标上跑通的演示视频；提前拿到补丁的发行商Chainguard又单方面打破保密协议，抢先发布了含修复的镜像——而补丁本身就是一份"漏洞地图"，对比新旧版本就能反推漏洞位置。更不安的是，亚马逊威胁情报团队称其蜜罐早在10月17日——公告前4天——就记录到一次利用尝试，IP来自商业匿名网络。三易生活APPSO知乎
尝试不等于得手：现在到底进行到哪一步
Cloudflare首席执行官Matthew Prince给出了这波攻击的爬坡曲线：PHP2Shell公开披露前的10个小时里，Cloudflare网络就观察到数千次利用尝试，披露后45分钟内增至数万次，两小时内达到数十万次，如今已是数百万次量级。InfoQ
但要把两个数字分开读：安全公司watchTowr观察到它看到的批量PoC并未实现远程代码执行，而测绘机构Censys在10月21日数出的约157万台，是未打补丁、直接联网的PHP主机，不是已经被入侵的主机。尝试多不等于入侵成功多，混在一起读，要么夸大恐慌，要么带偏防守重点。不过"没修也不会有事"同样是一厢情愿：据港媒报道，黑客集团在漏洞公布后，已积极尝试利用这两项漏洞植入Mirai僵尸网络变体。 10月24日还有人专门架设了故意不修复的站点并挂出比特币悬赏，网传该站19.5小时即被攻破、赏金被领走——这一说法目前只在社交平台流传，细节待核，但它指向的判断是成立的：暴露在互联网上、又没打补丁的PHP站点，被攻破只是时间问题。知乎HKEPC
"AI挖出世纪漏洞"的真相
这场风波的官方叙事始于OpenAI 10月21日的公告：安全公司Calif在AI的辅助下发现了PHP存在的严重漏洞。但披露当天Calif就出面"正名"：按时间线，8月1日其研究员在GPT-5.6 Sol协助下发现首个漏洞、8月11日报告PHP团队，OpenAI同日独立报告了同一根因；8月19日，谷歌旗下的Wiz也独立发现了漏洞。这不是某一个模型"独立挖出"漏洞的故事，而是多支团队用同一代工具、先后指向同一处缺陷。环球时报APPSO
更扎心的是这些缺陷的年龄。漏洞源头可追溯到2004年前后PHP处理内存限制的方式；PHP基金会事后承认，其中一个漏洞的修复线索在2024年的一次外部安全审计中就已被发现，但由于资源不足、决策流程低效、能深入理解PHP引擎内部机制的人太少，修复被拖延了近两年——基金会自己在事后声明中将此称为"结构性失败"。AI改变的不是缺陷本身，而是证明它可用的成本——Calif创始人对这次发现链的概括是，AI压缩的只是验证的时间，而方向感仍然来自人。InfoQAPPSO
至于"世纪漏洞"的名头，Wiz联合创始人将其与Heartbleed、Log4Shell等同样深埋于互联网地基的传奇漏洞并列，称这是迄今由AI协助发现的最严重漏洞——这是从业者的比较修辞，不是任何机构的定级。事件刷屏后，人们记住了另一个名字：把PHP源代码打包成全球主流发行版安装件的Ondřej Surý，维护PHP软件包是他的志愿工作，事发后24小时他收到的捐款差不多抵得上过去一整年——互联网地基的麻烦从来不是补丁写不出来，而是维护它的人此前几乎无人付费。APPSOInfoQ
现在该做什么
如果你运营着一个PHP站点，顺序很明确。先查版本、再升级：修复版本的基线是8.5.12、8.4.27、8.3.36、8.2.35，升级要以这四个版本或更高为准。，升级后必须重启全部PHP相关工作进程并确认实际服务进程已用上新版本；跑8.1及更早分支的别信"无解"，PHP官方为7.4、8.0、8.1提供了最小化源码回移补丁，国内宝塔等面板也推出了7.x系列的修复方案，发行商构建的修复状态以其公告为准。知乎知乎
来不及修的，先做临时缓解，注意这些措施只阻断部分攻击路径、不能替代安全更新：关闭session.upload_progress.enabled；重新评估memory_limit=-1这类取消请求内存限制的配置；由前置服务器限制解码后的请求体大小、字段数和multipart分段数，关闭非必要上传入口；mod_php这类默认配置的部署风险最高，应优先处理。检测方面，OpenAI已开源php2shell-checker，安装到Codex里即可：有服务器权限的用phpcheck-server，只有URL的用phpcheck-url。知乎APPSO
这轮风波里国内外的应对是同步推进的。工信部网络安全威胁和漏洞信息共享平台（NVDB）已就该PHP远程代码执行超危漏洞发布风险提示，国家信息安全漏洞共享平台（CNVD）也同步发出了涉该漏洞风险的提示。第一财经第一财经
腾讯云、阿里云等厂商发布了漏洞通告，奇安信等安全厂商也发出警告：如果网站无法立即修复，则应将其下线，直至修复完成。新华网三易生活
海外一侧，德国联邦信息技术中心预防性关闭了多个政府网站，芬兰、法国、比利时等国对公共部门网站采取保护措施，美国CISA、欧盟CERT-EU、英国NCSC相继发布紧急警告。 日本方面，最大的插画社区pixiv、弹幕视频网站Niconico等平台宣布紧急维护。 韩国政府也因这个漏洞上调了网络安全警报级别。普通用户的体感，就是某些网站因紧急维护短暂无法访问。InfoQAPPSO第一财经
最后提醒一句：PHP不是10月下旬唯一在补洞的地基——同一天Node.js也发布了安全更新，官方公告列出10项漏洞，其中4项高危。当AI把"证明一个陈年缺陷可以利用"的成本从数月压到一周，密集排雷恐怕才刚刚开始；接下来最值得盯的信号只有一个：未修复存量有多大，以及"已确认入侵"的案例何时开始公开出现。知乎
