你今天刷到的新闻网站，你公司用的那套内部系统，你常逛的那个论坛，你下单的那个电商平台……全球约70%网站的编程语言底层，都是PHP。
不是某个插件，不是某个框架，是底层语言本身。微软、维基百科、互联网档案馆、英国卫报、百度——这些你耳熟能详的超级平台，全都建立在PHP之上。
而就在2026年10月21日，这个撑起全球70%互联网的“地基”，被发现从里面裂开了一道缝——一道潜伏了整整14年的裂缝。
更让人震惊的是：发现这道裂缝的，不是哪位天才程序员，而是AI。
先给大家解释一下这个名字是什么意思。“Shell”就是服务器的命令行，拿到它，约等于拿到了这台服务器的控制权。这个名字的意思极其直接——从PHP，直通你的服务器。
CVE-2026-109618和CVE-2026-109619，这两个漏洞合称PHP2Shell，影响PHP 5到PHP 8的全系列版本。两个漏洞均被归类为CWE-824（未初始化指针访问），CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
翻译成人话：黑客不需要你的账号，不需要你的密码，只需要发一个特制的网络请求，就能在你的服务器上想干什么干什么。改数据，删文件，植入后门，偷走数据库里所有用户的信息——这些全都可以。
第一个漏洞 CVE-2026-109618：内存耗尽时的“致命急刹车”
PHP在发生内存耗尽（OOM）错误时，会使用longjmp()强制中止请求处理。某些执行上下文没有正确处理这种中断，导致请求内存处于未初始化状态。后续的请求清理过程可能读取或基于这段无效内存进行分支判断，而多种触发内存耗尽的方式都能稳定地利用这一条件，最终实现远程代码执行。
说白了就是：PHP在“紧急刹车”的瞬间，留下了一堆“未处理完的垃圾数据”，黑客只要把这堆垃圾数据“精准控制”，就能让服务器帮他执行任意命令。
第二个漏洞 CVE-2026-109619：请求结束后的“残影攻击”
内部状态在被一个请求使用后，其内存已经被释放，但全局状态仍然残留。同一个工作进程上的后续请求，可能在状态被重置之前就使用了这段已释放的内存。
这就像一个房间里的上一个住客走了，但他的“幽灵”还留在房间里，新住客来了之后可以控制这个“幽灵”做任何事。
这两个漏洞允许在PHP本身进行未经身份验证的远程代码执行，完全独立于运行在其上的任何应用程序。问题出在PHP引擎本身，发生在解析传入HTTP请求的过程中，这一步发生在应用程序代码运行之前——应用层安全措施完全失效。
事情的起源，要追溯到2026年8月。
OpenAI在官方博客中写道：“过去两个月，我们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。”
具体的发现归属是：“Calif公司使用GPT-5.6 Sol，在我们的Patch the Planet计划框架下识别出了一个关键漏洞，与此同时，Wiz也独立发现并报告了这两个漏洞。”
更令人震惊的细节是：安全公司Wiz独立找到了同样的漏洞，使用的是谷歌的Gemini 4 Argon。OpenAI的GPT-5.6 Sol，谷歌的Gemini 4 Argon，两家全球顶级AI公司的两套模型，走的是完全不同的路径，最终却指向了同一个深埋在PHP底层14年的裂缝。
这不是运气，这是能力。
我们来看一下这场“拆弹行动”具体的时间线：
两个月，AI给了世界两个月的喘息时间。
OpenAI表示：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’，使他们得以在公开披露之前准备好修复措施和保护手段。”
这句话，是整件事里最值得被记住的一句话。AI赢在了黑客前面。这一次。
漏洞曝光当晚，互联网上发生了一幕罕见的景象——日本各大消费平台纷纷提前下线进行紧急维护，其中包括Niconico（日本版YouTube）、pixiv（全球最大的艺术社区），以及宝可梦Sleep、碧蓝幻想、赛马娘等多个热门游戏。
欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至亲自在X平台上发帖，于2026年10月21日晚9时55分发出“今晚紧急行动请求”。
日本国家网络安全办公室也发出警告：“请检查您公开访问的网站是否使用PHP，并准备在日本时间10月21日晚11点补丁发布后尽快部署修复程序。”
受影响的网站列表，读起来像是半个互联网的花名册：WordPress（为全球超过40%的网站提供支持）、Drupal、Joomla、MediaWiki、Roundcube、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS……在Calif团队的研究环境中，这些均在股票级别上被演示了未认证的远程代码执行。
美国方面，CISA、FBI、NSA和英国NCSC同步发出紧急警告，敦促立即打补丁。据美国NSA警告，一旦攻击成功，犯罪分子可以窃取敏感数据、中断服务，甚至更深入地渗透进公司内部网络。
而PHP官方的态度，是最直接也是最无奈的那一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
没有妥协，没有中间路线。要么更新，要么下线。
你以为支撑全球70%网站底层的PHP，背后有一支多么庞大的工程师团队在维护？
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名由JetBrains赞助的执行董事，以及11名签约的全职或兼职开发者组成。
11个人。全球70%网站的底层语言，靠11个人在维护。
那这11个人的“薪水”从哪来？2025年，PHP基金会从赞助商和个人捐款者处获得的捐款总额为730,534美元。然而，支出超过了捐款约13.9万美元，这是一个为维持技术人员规模而做出的刻意选择。
不到73万美元，维持着全球互联网70%底层的生命线——而且还在亏损运营。硅谷随便哪个初创项目的天使轮，都不止这个数。
开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。企业在开源组件之上构建了价值数十亿美元的产品，而维护者却在苦苦寻找可持续的资金模式。这不是PHP独有的问题，这是整个互联网“免费搭便车”逻辑运转多年的后遗症。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
PHP官方已经明确说了：“不存在完整的临时缓解措施，更新是唯一安全的选择。”
不是“建议更新”，是“唯一安全的选择”。
PHP维护者在以下四个版本中发布了修复方案：
| 版本分支 | 修复版本 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1及更早版本已不再获得官方更新。 尽管部分发行版和长期支持提供商可能为旧版本提供修复，但官方渠道不会有补丁了。这意味着还有大量跑在老旧PHP版本上的网站，永远不会收到官方补丁。
如果你正在使用PHP 8.1或更早版本，必须立即规划升级到受支持的版本分支（8.2及以上），并更新到对应的修复版本。没有捷径。
Wiz在报告中指出：以前，针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着什么？以前的漏洞利用，是“定制化武器”，打造一把需要巨大成本，打击面有限。现在有了AI，这把武器可以被自动量产，适配所有目标。
OpenAI也坦诚地警告：AI发现漏洞的同等能力，也可以被攻击者所用。这就是安全圈里说的“红皇后困境”——“你必须拼命奔跑，才能留在原地。”
防御者用AI跑得更快，攻击者也用AI跑得更快。这次，是防御者赢了。但这场竞赛，才刚刚开始。OpenAI表示：“我们预计，未来几个月将会有更多类似的发现大幅增加。”
这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
很多人可能会想：我只是一个写公众号的，一个做内容的人，服务器和PHP跟我有什么关系？
关系很大。
你每天在公众号后台编辑文章、排版、推送，这些内容最终都存储在微信的服务器上。而微信生态里无数第三方服务商、插件、数据统计工具、H5页面、小程序后台——它们的底层技术栈里，PHP无处不在。你在任何一个第三方平台绑定公众号授权，背后可能就有一台跑着PHP的服务器正在处理你的数据。
这不是危言耸听，而是提醒：在这个互联网时代，没有任何人是孤岛。 底层的安全，决定了每一个人的内容、数据和隐私的安全。
对于公众号运营者来说，除了关注服务器安全，更日常的工作是内容的高效生产与精美的排版呈现。现在AI已经能帮安全研究员找漏洞了，同样也能帮你排版公众号文章。比如 AI设计公众号排版小墨鹰编辑器（https://www.xmyeditor.com），就是一款运营了11年的专业公众号图文排版工具，服务了500万公众号排版用户，AI快排效果和准确率均达到行业第一。它成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器，在2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。
你只需要把写好的文稿导入，AI就能自动完成全篇排版，25万+排版素材、10000+套全文模板随便套用，SVG动效素材替换文字和图片就能直接上手。手机端微信搜索【小墨鹰AI编辑器】小程序也能用，从聊天记录中选择文件导入，30秒搞定公众号排版。把省下来的时间，用来检查一下你网站后台的PHP版本，不香吗？
第一，我为AI感到骄傲，但我也因此而感到不安。
PHP被无数工程师和安全研究员盯了几十年，这个漏洞潜伏14年，没人发现。AI来了，两个独立团队，两套模型，指向同一个深埋的裂缝。这是值得庆祝的事，这是AI真正为人类守护安全的一刻。
但问题是：如果AI先被黑客用了呢？这不是假设，这是正在发生的现实。
第二，11个人维护全球70%网站底层这件事，让我感到真正的恐惧。
我们每天享受着互联网带来的一切便利和财富，却让11个人扛着这个世界的数字地基。结构性的失败，需要结构性的解决。11个人，不够。73万美元，不够。靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。
第三，现在就去检查你的PHP版本。现在。
如果你不知道怎么查，把这篇文章发给你们公司的技术负责人。如果你就是技术负责人，你现在应该放下手机，打开服务器控制台了。
这次是PHP。这一次，AI跑在了黑客前面。下一次，希望我们所有人都准备好了。
赞(0)
踩(0)
新媒笔记
L6分享：
微信扫一扫分享
相关文章
导语：当AI先黑客一步，我们必须快一步2026年10月，一则关于“PHP2Shell”的重磅安全事件席卷全球。两个被编号为CVE-2026-109618与CVE-2026-109619的高危漏洞，被AI模型提前识别并披露，影响范围
新媒摸鱼手
6浏览 21小时前
2026年10月21日，全球互联网世界经历了一场无声的地震。一个潜伏了整整14年的漏洞，在PHP——这门支撑全球约70%网站的底层编程语言中，被AI揪了出来。微软、维基百科、百度、英国卫报，这些你每天可能都在访问的平台，底层都跑着P
新媒划水记
5浏览 21小时前
事件快讯：AI 先黑客一步，撬开“PHP2Shell”10月21日，两个被合称为“PHP2Shell”的高危RCE漏洞（CVE-2026-109618、CVE-2026-109619）曝光，CVSS 9.2，影响PHP 5—8全
字里行间运营
9浏览 1天前
全球互联网的“地基”裂了一道缝你今天刷到的新闻网站，公司用的内部系统，常逛的论坛，下单的电商平台……全球约70%网站的编程语言底层，都是PHP。微软、维基百科、互联网档案馆、英国卫报、百度——这些耳熟能详的超级平台，全都建立在PH
排版小机灵
11浏览 1天前
导读这是一场足以改写网络安全史的事件：两个由AI驱动的团队，先于黑客，挖出潜伏14年的PHP底层RCE漏洞组合“PHP2Shell”（CVE-2026-109618/109619），CVSS 9.2，影响PHP 5–8全线版本。
字里有料
10浏览 1天前
2026年10月21日，一场足以震动全球互联网地基的安全事件被紧急引爆。一个潜伏了整整14年的PHP底层漏洞被AI率先发现，并被命名为“PHP2Shell”。它的危险之处在于：无需账号、无需密码，攻击者只需发送一个特制网络请求，就能
新媒划水记
10浏览 2天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
