2026年10月21日晚上，很多站长和技术群都炸了。
不是因为哪个明星塌房，也不是哪家互联网大厂裁员，而是那个撑起全球约70%网站底层的编程语言——PHP，被发现在内核层面裂开了一道缝。而且这道缝，已经潜伏了整整14年。
更让人后背发凉的是：发现它的不是哪位天才程序员，而是AI。
这次被曝光的问题，被安全圈命名为“PHP2Shell”。
通俗点说，Shell就是服务器的控制台。拿到它，基本等于拿到了服务器的钥匙。而“PHP2Shell”的意思也很直接：从PHP出发，直通你的服务器。
涉及两个漏洞编号：
根据公开信息，这两个漏洞影响PHP 5到PHP 8的全系列版本，评分高达9.2（危急级别），而且无需账号、无需密码、无需用户点击，攻击者只需要发送一个特制网络请求，就可能远程执行任意代码。
翻译成大白话就是：
黑客不需要你的后台账号，不需要你的管理员密码，只要往服务器发一个“精心构造的数据包”，就能在你的网站上为所欲为——改内容、删文件、偷用户数据、植入后门，全都可能。
更可怕的是，问题出在PHP引擎本身，发生在网站应用程序运行之前。也就是说，你在应用层做的很多安全防护，在这个漏洞面前可能直接失效。
这起事件的起点，要追溯到2026年8月。
据OpenAI官方博客披露，过去两个月，他们联合多家维护者和安全机构，共同应对PHP这一开源语言中的重大漏洞。
最终，两个团队几乎在相近的时间点，独立发现了同一个问题：
两套完全不同的AI模型，走了不同的路径，却指向了同一个深埋14年的底层裂缝。
这在过去是不可想象的。
过去，安全研究员往往需要多年经验积累，才能在某一个具体版本、具体配置下验证漏洞。现在，AI可以更快地完成分析、适配、验证，甚至比攻击者更早一步拿到结果。
Wiz在报告里也提到：大语言模型正在消除漏洞利用的门槛。以前需要花费大量精力针对性适配的漏洞，现在可以被自动适配到不同PHP版本、配置和内存布局。
用一句话总结就是：
AI让防守者更快了，但也让攻击者同样提速。这次是防守方先到一步。
按原计划，漏洞和补丁应该在10月22日统一发布。
但意外发生了。
10月20日，漏洞细节提前泄露，Cloudflare监测到有攻击者开始尝试利用该类漏洞。于是，PHP安全团队被迫提前到10月21日紧急发布补丁。
修复版本集中在：
PHP 8.1及更早版本，因为已经停止官方支持，很多将不会获得安全更新。这意味着还有大量使用老旧PHP版本的网站，可能长期暴露在风险中。
而在更早的10月17日，亚马逊已经在蜜罐系统中检测到第一次漏洞利用尝试。
换句话说：黑客比官方补丁，早了四天。
漏洞曝光当晚，日本、欧洲部分网站和服务开始集中紧急维护。涉及范围之广，连日本首相都在社交平台上发布了“紧急行动请求”。
这不是某一家公司的事，这是一场全球性的互联网基础设施级别的风险。
有一个事实，可能比漏洞本身更让人不安。
根据PHP基金会2025年度透明度报告：
你没看错：撑起全球约70%网站底层的语言，核心维护者只有大约11个人。
全世界无数企业、平台、系统建立在PHP之上，但愿意持续投入资金去维护这个“地基”的，少得可怜。
开源软件的长期困境，在这次事件中被彻底暴露出来。我们每天都在使用互联网的基础设施，但很少有人真正关心这些“地基”有没有人修、有没有人守。
不管你是个人站长、企业技术负责人，还是公众号运营者中偶尔要碰后台的人，这件事都值得你认真对待。
以下是3个最简单的自查步骤：
这个判断很简单。如果你是使用WordPress、Drupal、Joomla、Magento、Laravel、Nextcloud、MediaWiki等常见系统搭建的网站，基本都跑在PHP上。
登录你的服务器或主机管理面板，找到PHP版本信息。
8.2以下版本，尤其8.1及更早版本，风险较高。 如果还在使用老版本，建议尽快升级到官方已修复版本，或确认你的服务商是否提供兼容补丁。
如果你自己不太熟悉技术，不要硬来。直接把这件事同步给技术同事、外包开发团队或主机服务商，要求明确回复：
尤其是企业站点、交易平台、用户数据较多的网站，不要拖。
很多人觉得：我只是写公众号、做内容排版，又不碰服务器，跟我有什么关系？
但其实关系比想象中更大。
现在大量公众号运营相关的平台、后台、插件、素材网站、H5活动页、报名系统、图床、题库、投票工具等，底层都可能涉及PHP。只要有一个环节被植入后门，后续出现的内容异常、数据泄露、页面跳转、甚至账号被篡改，最终都会指向我们这些日常创作者。
尤其是在内容生产环节，很多公众号小编和运营者已经习惯用在线编辑器处理排版。一旦某些第三方排版工具、素材平台因为底层漏洞被攻击，被插入恶意代码、跳转链接或者采集脚本，最终影响的是公众号文章本身的展示效果和读者信任。
所以这里也顺带提醒一句：尽量选择长期稳定运营、有技术积累的平台。
比如一直在用的小墨鹰编辑器，最早叫小蚂蚁编辑器，2014年就上线了，做公众号排版已经有11年，积累了比较深的技术底子。现在已改名小墨鹰编辑器，官网是：https://www.xmyeditor.com，累计服务超过500万公众号排版用户。
对于经常需要处理公众号文章的运营人来说，稳定的排版工具不只是效率问题，也是内容安全的一部分。尤其是AI排版、素材模板、云端同步这类功能，背后依赖的平台稳定性，远比想象中更重要。
在这次PHP风波里，受影响最小、恢复最快的，往往是那些持续投入技术维护、对基础安全足够重视的工具和服务。
最后说一个最值得记住的判断。
OpenAI对这次事件的评价是：
“近期记忆中影响力最大的安全问题之一。”
而更具分量的是下面这句：
“AI比攻击者更早发现了这些漏洞，为维护者和安全厂商争取了一个响应窗口。”
这一次，AI站在了防守方。
但没有人能保证，下一次它不会先被攻击者用上。
这就像“红皇后困境”：你必须拼命奔跑，才能留在原地。
对技术团队如此，对内容创作者、对平台、对所有依赖互联网生存的人来说，也是如此。
这次是PHP，下次会是什么？没有人知道。但AI在扫描，每天都在扫描。
赞(0)
踩(0)
新媒划水记
L8分享：
微信扫一扫分享
相关文章
2026年10月21日，全球互联网世界经历了一场无声的地震。一个潜伏了整整14年的漏洞，在PHP——这门支撑全球约70%网站的底层编程语言中，被AI揪了出来。微软、维基百科、百度、英国卫报，这些你每天可能都在访问的平台，底层都跑着P
新媒划水记
5浏览 21小时前
事件快讯：AI 先黑客一步，撬开“PHP2Shell”10月21日，两个被合称为“PHP2Shell”的高危RCE漏洞（CVE-2026-109618、CVE-2026-109619）曝光，CVSS 9.2，影响PHP 5—8全
字里行间运营
9浏览 1天前
全球互联网的“地基”裂了一道缝你今天刷到的新闻网站，公司用的内部系统，常逛的论坛，下单的电商平台……全球约70%网站的编程语言底层，都是PHP。微软、维基百科、互联网档案馆、英国卫报、百度——这些耳熟能详的超级平台，全都建立在PH
排版小机灵
11浏览 1天前
导读这是一场足以改写网络安全史的事件：两个由AI驱动的团队，先于黑客，挖出潜伏14年的PHP底层RCE漏洞组合“PHP2Shell”（CVE-2026-109618/109619），CVSS 9.2，影响PHP 5–8全线版本。
字里有料
10浏览 1天前
2026年10月21日，一场足以震动全球互联网地基的安全事件被紧急引爆。一个潜伏了整整14年的PHP底层漏洞被AI率先发现，并被命名为“PHP2Shell”。它的危险之处在于：无需账号、无需密码，攻击者只需发送一个特制网络请求，就能
新媒划水记
10浏览 2天前
导语：一场由AI拉响的“全球警报”2026年10月21日，一对被统称为“PHP2Shell”的致命漏洞被紧急披露。它们潜伏了足足14年，影响范围从PHP 5到PHP 8全线版本，CVSS v4.0评分高达9.2。更具震撼力的是：发现者并
芝士焗烦恼
14浏览 2天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
