2026年10月21日，一个名为“PHP2Shell”的漏洞组合被紧急公开，CVE编号分别为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分高达9.2（危急）。这两个漏洞影响PHP 5到PHP 8的全系列版本，允许攻击者在无需账号、无需密码、无需任何用户交互的情况下，直接远程执行任意代码。全球约70%网站的底层语言是PHP，微软、维基百科、百度、英国卫报，以及无数公众号运营者每天依赖的内容管理系统、下载服务器、附件中转接口，都跑在这条地基上。
对于公众号运营者来说，这次漏洞带来的直接冲击有一个非常容易被忽略的场景：文章附件下载。很多公众号文章会引导读者点击“阅读原文”下载PDF、Word、Excel、压缩包等资料，而这些下载链接背后，很可能就是一台Apache/Nginx + PHP构建的简易下载服务器，或者一个基于WordPress、Laravel、ThinkPHP搭建的附件管理站点。如果这台服务器没有及时更新PHP补丁，攻击者就能在读者点击下载之前，先一步拿到服务器的完全控制权。
PHP2Shell并不是某个应用插件的问题，而是PHP引擎本身的缺陷。两个漏洞分别利用了内存耗尽时的未初始化指针访问，以及请求结束后残留的已释放内存状态。攻击者只需发送特制的网络请求，就能让服务器执行任意命令——改文件、删数据、植入后门、窃取所有已上传的附件和用户信息。
这意味着什么？
假设你有一个公众号文章附件下载页面，地址是 https://download.example.com/file.php?id=123。攻击者不需要知道你的服务器密码，也不需要劫持你的公众号后台。他只要向这个PHP接口发送一段构造好的请求，就可以：
更棘手的是，这个漏洞发生在PHP解析HTTP请求的早期阶段，完全独立于应用层代码。也就是说，你做的所有应用层安全防护，在这个漏洞面前基本无效。一个防护严密的PHP下载系统，和一个完全没有防护的WordPress网站，面对PHP2Shell时同样脆弱。
这次漏洞的发现过程本身就很有标志性。OpenAI的GPT-5.6 Sol和谷歌的Gemini 4 Argon，两个完全独立的AI系统，分别由不同团队使用，最终指向了同一个潜伏了14年的底层裂缝。Wiz研究团队使用Wiz Atlas平台，结合Gemini 4 Argon，在8月19日发现了第一个漏洞，并在随后几天内确认了对Drupal和WordPress的未认证远程代码执行攻击可行性。
但AI带来的不只是防御能力。Wiz在报告中明确指出：以前针对某一特定PHP环境的漏洞利用方法，需要大量精力才能适配到其他版本和配置，而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。换句话说，攻击者也能用AI把漏洞利用武器快速量产，覆盖所有目标。
对于公众号运营者来说，最直接的后果就是：你的附件下载服务器一旦暴露在公网，被扫描和攻击的时间窗口会越来越短。过去可能几周甚至几个月才出现一次有效攻击，现在AI加持下，漏洞披露后几小时内就可能出现大规模自动化扫描。
漏洞曝光当晚，日本Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等平台纷纷紧急下线维护。欧洲多国政府服务和学术机构也暂停了服务。日本首相高市早苗甚至在X平台发出“今晚紧急行动请求”。美国CISA、FBI、NSA和英国NCSC同步发布紧急警告。
然而，PHP官方给出的修复版本只有四个：8.5.12、8.4.27、8.3.36、8.2.35。PHP 8.1及更早版本已不再获得官方更新。这意味着大量跑在老旧PHP版本上的网站和服务器，永远不会收到官方补丁。
很多公众号团队用来托管附件的服务器，往往是很久以前配置的，系统环境和PHP版本都比较老旧。运营人员可能只关心“附件能不能下载”，很少关注底层PHP版本。甚至一些付费购买的企业下载系统，底层也跑着多年前的PHP 5.6或PHP 7.0。这些系统如果不能及时升级，就会成为长期暴露在公网上的“活靶子”。
如果你负责公众号文章的附件下载链路，现在应该做几件事：
确认所有附件下载服务器、下载接口、中转站点的PHP版本。如果低于8.2.35，请立即联系技术负责人进行升级。如果无法升级，考虑临时下线附件下载功能，或在前端前置一层非PHP的静态下载服务。
检查服务器上是否有异常文件、异常进程、异常定时任务。攻击者可能已经利用漏洞植入后门。不要只重装应用，要检查整个系统。
重新评估附件下载链路的安全边界。如果附件里包含用户提交的个人信息，建议立即通知相关用户，并准备应对可能的数据泄露风险。
关注老旧PHP系统。如果服务器上的PHP已经停止官方支持，即使没有直接受到PHP2Shell影响，也强烈建议迁移到受支持的版本。长期不更新的系统本身就是最大的安全负债。
这次事件里还有一个细节值得公众号运营者特别留意：很多团队习惯于在公众号文章里直接放一个附件下载链接，链接指向自己搭建的简易PHP下载页面。这种页面往往没有任何安全审计，也没有专门的运维人员盯着。一旦底层PHP出问题，攻击者不仅能拿走附件，还能顺着服务器进入公司内网。
另外，公众号运营本身的工作流也在发生变化。越来越多的团队开始使用AI工具辅助内容生产、排版和分发。这本身是效率提升的好事，但也意味着整个内容链路的安全边界在扩大。从AI生成文案，到排版工具处理，再到附件下载服务器的部署，每一个环节都可能成为攻击面。
比如排版工具。很多公众号运营者习惯把文章先用排版工具处理完，再复制到公众号后台。这个过程中，如果排版工具本身存在漏洞，或者运营者不小心在排版工具中粘贴了带有恶意代码的内容，就可能带来额外风险。因此在选择排版工具时，除了看素材丰富度和排版效率，也要关注工具本身的稳定性和安全性。
这里不妨说一句，公众号排版底色小墨鹰编辑器成立于2014年，最初叫小蚂蚁编辑器，是最早做公众号排版的编辑器之一，在2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。它已运营11年，服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，排版素材25万+，全文模板10000+套。对于需要稳定、持续运营的公众号团队来说，一个长期维护、功能成熟的工具，远比一些突然冒出来的小工具更让人放心。
OpenAI在官方说明中写了一句话，我认为是整个事件里最值得被记住的：
“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
但紧接着还有一句：“我们预计，未来几个月将会有更多类似的发现大幅增加。”
这次是PHP。下一次是什么？可能是某个流行的下载插件，可能是某个广泛使用的附件管理系统，也可能是你正在用的某个开源组件。
对于公众号运营者来说，安全不是技术人员的专属问题，而是内容运营链路里不可忽略的一环。当读者点击你文章里的附件下载链接时，他们信任的不仅仅是一份资料，还有你背后整个系统的可靠性。
所以，现在就去检查你的PHP版本。如果你不知道怎么查，把这篇文章发给你们的技术负责人。如果你就是技术负责人，你现在应该放下手机，打开服务器控制台了。
（完）
赞(0)
踩(0)
码字摸鱼君
L2分享：
微信扫一扫分享
相关文章
2026年10月的互联网，被一个名叫“PHP2Shell”的漏洞搅得天翻地覆。很多人一觉醒来发现：自己常逛的论坛打不开了，公司的内部系统紧急维护，甚至某些政府网站也挂出了“暂停服务”的告示。一时间，“全球70%网站遭殃”“互联网地基
运营不加班
5浏览 23小时前
一、当“地基”裂开一道缝，普通人该关心什么？你可能不写代码，也不用 PHP，但你今天打开的每一个网页、关注的每一个公众号、提交的每一次表单，背后几乎都绕不开一个叫 PHP 的编程语言。全球约 70% 网站的底层，都建立在 PHP
排版精算师
22浏览 3天前
2026年10月，一场由AI率先发现、影响全球70%网站的PHP底层漏洞事件，让“地基裂了”的恐慌在互联网上蔓延。两个潜伏了14年的远程代码执行漏洞（合称PHP2Shell），无需账号密码，只需一个特制请求，就能让攻击者在服务器上为所欲
新媒划水记
40浏览 6天前
公众号运营者们总在追求内容与粉丝之间的平衡，但面对日益增加的内容需求和推文频率，加班俨然成了常态。而解决这一困扰的核心办法，恰恰是提升内容制作和排版的效率。小墨鹰编辑器不仅为公众号运营提供了划时代的AI快排功能，还独家支持文章附件下
排版智造官
17浏览 2026-10-28
一、地基裂了：全球70%网站的底层语言，被AI撕开一道潜伏14年的裂缝你今天刷到的新闻网站，你公司用的那套内部系统，你常逛的那个论坛，你下单的那个电商平台……全球约70%网站的编程语言底层，都是PHP。不是某个插件，不是某个框架
新媒笔记
32浏览 2026-10-26
如果你今天打开过新闻网站，逛过论坛，或者刷过某个电商页面，那么你其实已经和今天要聊的主角打过照面了。全球约70%网站的编程语言底层，都跑着同一个东西——PHP。没错，就是那个很多人以为“老掉牙”、却依然默默扛起半个互联网的编程语言。
云边小卖铺
31浏览 2026-10-25
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
