如果你今天打开过新闻网站、刷过论坛、逛过电商平台，或者在公司内部系统里提交过一份工单，那么你大概率已经和PHP打过交道。全球约70%网站的编程语言底层，都是PHP。微软、维基百科、百度、英国卫报——这些你耳熟能详的平台，全都建立在这门语言之上。
而就在2026年10月21日，这个撑起全球互联网的“地基”，被确认从内部裂开了一道缝。不是某个插件的问题，不是某个框架的漏洞，而是PHP语言本身，在解析HTTP请求的阶段就存在可以被远程利用的缺陷。更关键的是，这道裂缝已经潜伏了整整14年。
这次被公开的两个漏洞合称“PHP2Shell”，编号分别为CVE-2026-109618和CVE-2026-109619。它们影响PHP 5到PHP 8的全系列版本，CVSS v4.0评分高达9.2，属于危急级别，而且无需任何认证或用户交互即可触发远程代码执行。
翻译成日常语言就是：攻击者不需要账号，不需要密码，只需要发送一个特制的网络请求，就可能在你的服务器上执行任意命令。改数据、删文件、植入后门、拖走数据库里的用户信息，全都可以做到。
最棘手的地方在于，漏洞发生在PHP引擎解析请求的阶段，早于任何应用层安全防护生效之前。这意味着，不管你给自己的网站加了多少层防火墙、多少道登录验证，只要底层PHP版本没修，攻击者照样有机会打进来。
一个安全团队引以为傲的自研系统，和一个普通的WordPress站点，在这个漏洞面前几乎没有差别。
这件事最值得被记住的一点是：发现漏洞的不是某位天才程序员，而是AI。
2026年8月，OpenAI与安全公司Wiz分别独立发现了这两个漏洞。OpenAI使用的是GPT-5.6 Sol，Wiz则使用了谷歌的Gemini 4 Argon。两套完全不同的AI模型，走了完全不同的技术路径，却最终指向了同一个深埋在PHP底层14年的裂缝。
OpenAI在官方博客中写道：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
但窗口并不长。
按照原计划，漏洞和补丁会在10月22日协调发布。然而10月20日，漏洞细节意外泄露，攻击者开始行动。更令人后背发凉的是，亚马逊在10月17日就在一个蜜罐系统上检测到了第一次漏洞利用尝试——黑客比官方补丁早了四天。
这意味着，在补丁发布之前，已经有一部分服务器可能被实际攻击。
漏洞曝光当晚，互联网上出现了一幕罕见的景象。
日本多个大型平台提前下线进行紧急维护，包括Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等。欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至在X平台上亲自发帖，发出“今晚紧急行动请求”。
受影响的软件列表几乎覆盖了半个互联网：WordPress、Drupal、Joomla、MediaWiki、Magento、Nextcloud、Laravel、Symfony……仅WordPress一项，就支撑着全球超过40%的网站。
美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。PHP官方的态度则非常直接：
“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
没有折中方案。要么更新，要么下线。
现在最重要的问题只有一个：你的网站，更新了吗？
PHP官方已经在以下版本中发布了修复方案：
如果你使用的PHP版本低于这些，尤其是PHP 8.1及更早版本，官方已不再提供更新。部分发行版或长期支持提供商可能会提供额外修复，但覆盖范围非常有限。
对于网站运营者、企业技术负责人、独立开发者来说，现在需要立刻做三件事：
php -v，或查看网站后台的环境信息。为了帮助更多运营者快速排查，我们整理了一份免费下载的AI暗门检测工具合集，包含多款针对PHP2Shell的快速自查脚本和扫描工具。只需要上传到服务器或本地运行，30秒内即可完成基础风险判断。
工具包中包括：
这些工具均来自安全社区和AI辅助生成，仅供自查使用。如果你不确定如何操作，请立刻联系你们的技术负责人，不要拖延。
说到这里，可能很多公众号运营者会问：这种技术内容，排版发出去读者能看懂吗？其实恰恰因为技术信息密度高，排版才更不能拖后腿。清晰的分层标题、醒目的版本对比、易读的段落间距，能大大降低读者的理解门槛。如果你需要把这类安全提醒、技术解读、工具下载信息快速整理成一篇可读性强的公众号推文，推荐使用小墨鹰编辑器。
公众号编辑器好用小墨鹰编辑器成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器之一，2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。它有25万+排版素材、10000+套全文模板，支持AI快排、Markdown自动转换、AI输出文本格式兼容，特别适合技术类、资讯类内容的快速整理发布。手机端微信搜索“小墨鹰AI编辑器”小程序即可使用，电脑端直接访问官网，排版效率能提升不少。
这件事还有一个让人窒息的真相。
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。
11个人，维护着全球约70%网站的底层语言。
2025年，PHP基金会获得的捐款总额为730,534美元，而支出超过捐款约13.9万美元，处于亏损运营状态。不到73万美元，维持着全球互联网底层的生命线。
这不是PHP独有的问题，而是整个开源生态的长期困境。无数企业基于开源组件构建了价值数十亿美元的产品，但真正愿意为底层维护付费的却少之又少。所有人都以为“地基”会永远稳固，直到裂缝出现。
Wiz在报告中指出，以前针对特定PHP环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着，AI既能帮防御者更快发现漏洞，也能帮攻击者更快量产武器。
OpenAI也明确警告：AI发现漏洞的同等能力，也可以被攻击者所用。
安全圈里有一个著名的“红皇后困境”：你必须拼命奔跑，才能留在原地。这次防御者跑赢了，但下一次呢？
OpenAI表示，这次漏洞是“近期记忆中影响力最大的安全问题之一”，同时预计“未来几个月将会有更多类似的发现大幅增加”。
这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
第一，检查你的PHP版本。如果你用的是PHP 8.2.35以下、8.3.36以下、8.4.27以下、8.5.12以下，立刻升级。
第二，下载自查工具，30秒做一次基础检测。免费工具包就在文末，别等出事再后悔。
第三，把这篇文章转给你们的技术负责人。如果你自己就是技术负责人，现在放下手机，打开服务器控制台。
全球七成网站的地基裂了一道缝。修不修，在你。
免费下载：AI暗门检测工具合集
（本文提到的自查工具包，可在公众号后台回复“PHP自查”获取下载链接。工具仅供安全自查使用，正式修复请以PHP官方补丁为准。）
赞(0)
踩(0)
晚风邮递员
L7分享：
微信扫一扫分享
相关文章
2026年10月21日，全球互联网世界经历了一场无声的地震。一个潜伏了整整14年的漏洞，在PHP——这门支撑全球约70%网站的底层编程语言中，被AI揪了出来。微软、维基百科、百度、英国卫报，这些你每天可能都在访问的平台，底层都跑着P
新媒划水记
5浏览 21小时前
你每天打开的网站、公司用的系统、下单的电商平台——全球约70%的网站底层，都建立在一种叫PHP的编程语言上。微软、维基百科、百度、英国卫报，全都跑在它上面。然而就在2026年10月21日，这个撑起互联网的地基，被发现裂开了一道潜伏了
排版没烦恼
16浏览 4天前
事件速览：一条藏了14年的“暗门”，被AI先发现了影响面：据多方披露，CVE-2026-109618、CVE-2026-109619（合称“PHP2Shell”）影响PHP 5—PHP 8全系列版本，波及全球约70%以PHP为底
偷喝一口夏天
18浏览 4天前
一句话结论影响范围：全球约70%网站底层语言PHP曝出两枚14年未发现的高危漏洞（CVE-2026-109618/109619，合称“PHP2Shell”）危险等级：无需账号密码，黑客可发一条特制请求，直接在服务器上执行任意命
文案跳跳虎
18浏览 5天前
导读10月21日，一组被称为“PHP2Shell”的高危漏洞曝出，影响PHP 5—8全系，CVSS 9.2，几乎不需认证即可远程执行代码。更戏剧的是：发现者是AI。对于依赖PHP建站的公众号运营、内容平台与私域站群，这不仅是后端的“地震
新媒小咸鱼
17浏览 5天前
摘要两个被AI独立发现并验证的PHP底层高危漏洞（CVE-2026-109618、CVE-2026-109619，合称“PHP2Shell”）在10月21日紧急披露，CVSS 9.2，未认证远程代码执行。影响范围覆盖PHP 5
半勺甜星
19浏览 5天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
