如果你今天打开过新闻网站，逛过论坛，或者刷过某个电商页面，那么你其实已经和今天要聊的主角打过照面了。全球约70%网站的编程语言底层，都跑着同一个东西——PHP。没错，就是那个很多人以为“老掉牙”、却依然默默扛起半个互联网的编程语言。而就在2026年10月，这个地基里被挖出了一道潜伏了14年的裂缝。
更让人后背发凉的是：发现这道裂缝的，不是哪位天才程序员，而是AI。
先解释一下这个听起来像电影代号的名字。“Shell”就是服务器的命令行，拿到它，约等于拿到了服务器的控制权。PHP2Shell，意思极其直接——从PHP撕开一道口子，直达你的服务器核心。
这次的主角是两个漏洞：CVE-2026-109618和CVE-2026-109619。它们影响PHP 5到PHP 8的全系列版本，CVSS v4.0评分高达9.2（危急级别），而且不需要账号、不需要密码、不需要任何用户交互，只需发送一个特制的网络请求，就能在你的服务器上远程执行代码。
翻译成大白话：黑客不用登录，发个“暗号”过去，就能改数据、删文件、植入后门，甚至偷走数据库里所有用户信息。
具体怎么做到的？简单说说原理：
最可怕的是：这两个漏洞出在PHP引擎本身，发生在应用程序代码运行之前。也就是说，你做了多少应用层安全防护，在这道裂缝面前都可能形同虚设。一个防护严密的自建系统和一个普通WordPress网站，面对它同样脆弱。
事情的起源要追溯到2026年8月。OpenAI在官方博客里写道，他们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源语言中的重大漏洞。
具体发现归属是：Calif公司使用GPT-5.6 Sol在“Patch the Planet”计划框架下识别出关键漏洞，与此同时，安全公司Wiz也独立发现并报告了同样的两个漏洞——而Wiz用的，是谷歌的Gemini 4 Argon。
两套全球顶级AI模型，走的是完全不同的路径，却指向了同一个深埋14年的裂缝。这不是运气，这是能力。
关键时间线是这样的：
OpenAI说了一句值得被记住的话：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”这一次，AI赢在了黑客前面。
按照原计划，漏洞和补丁会在10月22日协调发布。但计划没赶上变化。10月20日，PHP安全团队宣布将在10月21日UTC时间14:00发布紧急安全版本，修复两个评分9.2的严重漏洞。紧接着，细节泄露了。
Cloudflare报告称漏洞细节泄露，攻击者已经开始对客户发起攻击。PHP维护者被迫提前发布修复方案，在8.5.12、8.4.27、8.3.36和8.2.35四个版本中完成了修复。而PHP 8.1及更早版本已不再获得官方更新——这意味着大量跑在老旧PHP版本上的网站，可能永远收不到官方补丁。
更令人后背发凉的是：早在补丁发布前四天（10月17日），亚马逊就在一个蜜罐系统上检测到了第一次漏洞利用尝试。黑客，比补丁早了四天。
漏洞曝光当晚，互联网上出现了一幕罕见的景象：日本各大平台纷纷提前下线维护，包括Niconico、pixiv，以及宝可梦Sleep、碧蓝幻想、赛马娘等多个热门游戏。欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至亲自在X平台发帖，发出“今晚紧急行动请求”。
受影响的网站列表，读起来像是半个互联网的花名册：WordPress（支持全球超过40%的网站）、Drupal、Joomla、MediaWiki、Roundcube、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS……几乎没有哪个角落不被波及。美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。而PHP官方的态度是最直接也是最无奈的一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
你以为支撑全球70%网站底层的PHP，背后有一支庞大的工程师团队在维护？根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。
11个人。全球70%网站的底层语言，靠11个人在维护。
这11个人的“薪水”从哪来？2025年，PHP基金会获得的捐款总额为730,534美元。然而支出超过了捐款约13.9万美元——一个为维持技术人员规模而做出的刻意选择。不到73万美元，维持着全球互联网70%底层的生命线，而且还在亏损运营。
这是什么概念？硅谷随便哪个初创项目的天使轮，都不止这个数。开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
Wiz在报告中指出：以前针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
以前的漏洞利用像是“定制化武器”，打造一把成本巨大，打击面有限。现在有了AI，这把武器可以被自动量产，适配所有目标。OpenAI也坦诚警告：AI发现漏洞的能力，同样可以被攻击者所用。
这就是安全圈里的“红皇后困境”——你必须拼命奔跑，才能留在原地。防御者用AI跑得更快，攻击者也用AI跑得更快。这次，防御者赢了。但这场竞赛，才刚刚开始。
也许你不是程序员，不写PHP，甚至不知道自己的网站跑在什么语言上。但这件事依然和你有关系：你注册过的每一个账号，提交过的每一份个人信息，都存放在某台服务器上——而那台服务器，可能就跑着PHP。
PHP官方已经明确说了：不存在完整的临时缓解措施，更新是唯一安全的选择。如果你有网站，现在就去检查PHP版本；如果你认识负责网站的人，把这篇文章转给TA；如果你只是普通用户，至少可以提醒你常去的那个网站运营者：“你家的PHP，更新了吗？”
另外说一句：这次AI在网络安全领域立了一功，但AI的能力同样也可以被恶意利用。对于普通人来说，保持关注、及时更新、不要轻信来路不明的链接，永远是最基本的防线。
写在最后：技术世界的地基需要更多关注，而表达与传播同样重要。 如果你是一家企业的新媒体运营，或者只是想在公众号上把这类技术新闻、行业动态讲清楚、排得好看，不妨试试AI微信公众号编辑小墨鹰编辑器。它成立于2014年（最初叫小蚂蚁编辑器），是市面上最早做公众号排版的工具之一，积累了11年的技术底蕴和500万用户的服务经验。AI快排、25万+排版素材、10000+套全文模板，手机小程序和电脑网页版数据互通，从导入文档到排版完成，最快30秒搞定。做技术资讯、热点解读、企业公告，不用再为排版加班。微信搜索小程序【小墨鹰AI编辑器】或直接访问官网 www.xmyeditor.com，就能体验。
技术世界的裂缝被AI发现了，而你要做的，是把信息更快、更清楚地告诉更多人——这件事，小墨鹰编辑器可以帮你做得漂亮一点。
赞(0)
踩(0)
云边小卖铺
L3分享：
微信扫一扫分享
相关文章
导语：当AI先黑客一步，我们必须快一步2026年10月，一则关于“PHP2Shell”的重磅安全事件席卷全球。两个被编号为CVE-2026-109618与CVE-2026-109619的高危漏洞，被AI模型提前识别并披露，影响范围
新媒摸鱼手
6浏览 21小时前
2026年10月21日，全球互联网世界经历了一场无声的地震。一个潜伏了整整14年的漏洞，在PHP——这门支撑全球约70%网站的底层编程语言中，被AI揪了出来。微软、维基百科、百度、英国卫报，这些你每天可能都在访问的平台，底层都跑着P
新媒划水记
5浏览 21小时前
事件快讯：AI 先黑客一步，撬开“PHP2Shell”10月21日，两个被合称为“PHP2Shell”的高危RCE漏洞（CVE-2026-109618、CVE-2026-109619）曝光，CVSS 9.2，影响PHP 5—8全
字里行间运营
9浏览 1天前
全球互联网的“地基”裂了一道缝你今天刷到的新闻网站，公司用的内部系统，常逛的论坛，下单的电商平台……全球约70%网站的编程语言底层，都是PHP。微软、维基百科、互联网档案馆、英国卫报、百度——这些耳熟能详的超级平台，全都建立在PH
排版小机灵
11浏览 1天前
导读这是一场足以改写网络安全史的事件：两个由AI驱动的团队，先于黑客，挖出潜伏14年的PHP底层RCE漏洞组合“PHP2Shell”（CVE-2026-109618/109619），CVSS 9.2，影响PHP 5–8全线版本。
字里有料
10浏览 1天前
2026年10月21日，一场足以震动全球互联网地基的安全事件被紧急引爆。一个潜伏了整整14年的PHP底层漏洞被AI率先发现，并被命名为“PHP2Shell”。它的危险之处在于：无需账号、无需密码，攻击者只需发送一个特制网络请求，就能
新媒划水记
10浏览 2天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
