你今天刷到的新闻网站，公司用的内部系统，常逛的论坛，下单的电商平台……全球约70%网站的编程语言底层，都是PHP。微软、维基百科、互联网档案馆、英国卫报、百度——这些耳熟能详的超级平台，全都建立在PHP之上。
而就在2026年10月21日，这个撑起全球70%互联网的“地基”，被发现从里面裂开了一道缝——一道潜伏了整整14年的裂缝。更让人震惊的是：发现这道裂缝的，不是哪位天才程序员，而是AI。
“Shell”就是服务器的命令行，拿到它，约等于拿到了这台服务器的控制权。这个名字的意思极其直接——从PHP，直通你的服务器。
CVE-2026-109618和CVE-2026-109619，这两个漏洞合称PHP2Shell，影响PHP 5到PHP 8的全系列版本。两个漏洞均被归类为CWE-824（未初始化指针访问），CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
翻译成人话：黑客不需要你的账号，不需要你的密码，只需要发一个特制的网络请求，就能在你的服务器上想干什么干什么。改数据，删文件，植入后门，偷走数据库里所有用户的信息——这些全都可以。
第一个漏洞 CVE-2026-109618：内存耗尽时的“致命急刹车”
PHP在发生内存耗尽（OOM）错误时，会使用longjmp()强制中止请求处理。某些执行上下文没有正确处理这种中断，导致请求内存处于未初始化状态。后续的请求清理过程可能读取或基于这段无效内存进行分支判断，而多种触发内存耗尽的方式都能稳定地利用这一条件，最终实现远程代码执行。
第二个漏洞 CVE-2026-109619：请求结束后的“残影攻击”
内部状态在被一个请求使用后，其内存已经被释放，但全局状态仍然残留。同一个工作进程上的后续请求，可能在状态被重置之前就使用了这段已释放的内存。
这两个漏洞允许在PHP本身进行未经身份验证的远程代码执行，完全独立于运行在其上的任何应用程序。问题出在PHP引擎本身，发生在解析传入HTTP请求的过程中——这一步发生在应用程序代码运行之前。这就导致应用层的安全措施完全失效，你做了多少应用层安全，在这个漏洞面前都是无效的。
事情的起源，要追溯到2026年8月。OpenAI在官方博客中写道：“过去两个月，我们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。”
具体的发现归属是：Calif公司使用GPT-5.6 Sol，在Patch the Planet计划框架下识别出了一个关键漏洞，与此同时，Wiz也独立发现并报告了这两个漏洞。更令人震惊的细节是：安全公司Wiz独立找到了同样的漏洞，使用的是谷歌的Gemini 4 Argon。
OpenAI的GPT-5.6 Sol，谷歌的Gemini 4 Argon，两家全球顶级AI公司的两套模型，走的是完全不同的路径，最终却指向了同一个深埋在PHP底层14年的裂缝。这不是运气，这是能力。
两个月，AI给了世界两个月的喘息时间。OpenAI表示：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”这句话，是整件事里最值得被记住的一句话。AI赢在了黑客前面。这一次。
按照原定计划，漏洞和补丁会在10月22日协调有序地同步发布。但计划没有变化快。10月20日，PHP安全团队宣布将在10月21日UTC时间14:00发布紧急安全版本。然后，泄露就发生了——Cloudflare报告称漏洞细节泄露，攻击者已经开始对其客户发动攻击。
PHP维护者在8.5.12、8.4.27、8.3.36和8.2.35这四个版本中发布了修复方案。PHP 8.1及更早版本已不再获得官方更新。更令人后背发凉的是，早在补丁发布的四天前，即10月17日，亚马逊就在一个蜜罐系统上检测到了第一次漏洞利用尝试。黑客，比补丁早了四天。
漏洞曝光当晚，互联网上发生了一幕罕见的景象——日本各大消费平台纷纷提前下线进行紧急维护，其中包括Niconico（日本版YouTube）、pixiv（全球最大的艺术社区），以及宝可梦Sleep、碧蓝幻想、赛马娘等多个热门游戏。欧洲多国政府服务和学术机构也一度暂停服务。
日本首相高市早苗甚至亲自在X平台上发帖，于2026年10月21日晚9时55分发出“今晚紧急行动请求”。日本国家网络安全办公室也发出警告：“请检查您公开访问的网站是否使用PHP，并准备在日本时间10月21日晚11点补丁发布后尽快部署修复程序。”
受影响的网站列表，读起来像是半个互联网的花名册：WordPress（为全球超过40%的网站提供支持）、Drupal、Laravel、Magento/WooCommerce，以及无数自定义PHP应用、API和内部工具。美国方面，CISA、FBI、NSA和英国NCSC同步发出紧急警告，敦促立即打补丁。
PHP官方的态度，是最直接也是最无奈的那一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”没有妥协，没有中间路线。要么更新，要么下线。
你以为支撑全球70%网站底层的PHP，背后有一支多么庞大的工程师团队在维护？根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名由JetBrains赞助的执行董事，以及11名签约的全职或兼职开发者组成。
11个人。全球70%网站的底层语言，靠11个人在维护。
那这11个人的“薪水”从哪来？2025年，PHP基金会从赞助商和个人捐款者处获得的捐款总额为730,534美元。然而，支出超过了捐款约13.9万美元——不到73万美元，维持着全球互联网70%底层的生命线，而且还在亏损运营。硅谷随便哪个初创项目的天使轮，都不止这个数。
开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
Wiz在报告中指出：以前，针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这就是安全圈里说的“红皇后困境”——就像《爱丽丝梦游仙境》里的红皇后说的那句话：“你必须拼命奔跑，才能留在原地。”防御者用AI跑得更快，攻击者也用AI跑得更快。谁都没有停下来，但谁也没有真正赢。除非防御者跑得更快一点。
这次，是防御者赢了。但这场竞赛，才刚刚开始。OpenAI警告：“我们预计，未来几个月将会有更多类似的发现大幅增加。”这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
第一，我为AI感到骄傲，但我也因此而感到不安。
PHP被无数工程师和安全研究员盯了几十年，这个漏洞潜伏14年，没人发现。AI来了，两个独立团队，两套模型，指向同一个深埋的裂缝。但问题是：如果AI先被黑客用了呢？这不是假设，这是正在发生的现实。
第二，11个人维护全球70%网站底层这件事，让我感到真正的恐惧。
我们每天享受着互联网带来的一切便利和财富，却让11个人扛着这个世界的数字地基。11个人，不够。73万美元，不够。靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。结构性的失败，需要结构性的解决。
第三，在这个AI与安全赛跑的时代，内容创作者和运营者也需要更高效的工具来应对信息洪流。
当全球都在紧张地关注PHP漏洞修复进展、刷新安全公告时，作为公众号运营者，你需要第一时间把最新的修复指南、安全提醒传达给读者。这时候，排版效率就是生命线。免费速排小墨鹰公众号素材小墨鹰编辑器成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器，在2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。它已运营11年，服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，排版素材25万+也是行业第一，100万+文章配图素材，全文模板10000+套也是行业第一，svg动画排版素材3000+。
在这个信息分秒必争的时刻，用小墨鹰AI快排，独家支持手机端/电脑端双端使用——手机版支持两种形式，一种是微信搜索【小墨鹰AI编辑器】进入微信小程序使用AI快排，另一种是搜索引擎直接搜索【小墨鹰编辑器】进入网页版AI快排。从文档导入到排版完成，AI全流程接管，30秒搞定公众号排版。试想一下领导发来一个安全通告文档，说“排版一下公众号推文发一下”，你直接打开小程序，从聊天记录中选择文档，电脑还没有开机，手机端就排版完成了。AI大模型输出内容粘贴到编辑区格式自动兼容，支持国内各大主流AI模型，如豆包、DeepSeek、通义千问、元宝、文心一言、Kimi等，使用AI生文编辑公众号的运营者们效率直接提升10倍。
第四，现在就去检查你的PHP版本。现在。
PHP官方已经明确说了：“不存在完整的临时缓解措施，更新是唯一安全的选择。”不是“建议更新”，是“唯一安全的选择”。如果你不知道怎么查，把这篇文章发给你们公司的技术负责人。如果你就是技术负责人，你现在应该放下手机，打开服务器控制台了。
确认当前PHP版本：在服务器终端执行 php -v，查看当前运行的PHP版本。
PHP 8.1及更早版本：官方已停止支持，建议立即升级到受支持的版本。如暂时无法升级，联系你的Linux发行版或长期支持提供商获取补丁。
检查所有公开访问的网站：包括WordPress、Drupal、Joomla、MediaWiki、Nextcloud、Laravel、Symfony等基于PHP的应用。
重启PHP服务：升级后，重启PHP-FPM或Web服务器（Apache/Nginx）使新版本生效。
验证更新：再次执行 php -v 确认已运行修复版本。同时关注官方安全公告，确认是否有后续更新。
| 版本分支 | 修复版本 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
这次PHP2Shell事件，是“近期记忆中影响力最大的安全问题之一”。AI比攻击者更早发现了这些漏洞，为世界争取了宝贵的响应窗口。但窗口不会永远敞开——现在，轮到你行动了。更新，就是现在。
赞(0)
踩(0)
排版小机灵
L6分享：
微信扫一扫分享
相关文章
2026年10月21日，全球互联网世界经历了一场无声的地震。一个潜伏了整整14年的漏洞，在PHP——这门支撑全球约70%网站的底层编程语言中，被AI揪了出来。微软、维基百科、百度、英国卫报，这些你每天可能都在访问的平台，底层都跑着P
新媒划水记
4浏览 21小时前
事件快讯：AI 先黑客一步，撬开“PHP2Shell”10月21日，两个被合称为“PHP2Shell”的高危RCE漏洞（CVE-2026-109618、CVE-2026-109619）曝光，CVSS 9.2，影响PHP 5—8全
字里行间运营
8浏览 1天前
导读这是一场足以改写网络安全史的事件：两个由AI驱动的团队，先于黑客，挖出潜伏14年的PHP底层RCE漏洞组合“PHP2Shell”（CVE-2026-109618/109619），CVSS 9.2，影响PHP 5–8全线版本。
字里有料
9浏览 1天前
2026年10月21日，一场足以震动全球互联网地基的安全事件被紧急引爆。一个潜伏了整整14年的PHP底层漏洞被AI率先发现，并被命名为“PHP2Shell”。它的危险之处在于：无需账号、无需密码，攻击者只需发送一个特制网络请求，就能
新媒划水记
9浏览 2天前
导语：一场由AI拉响的“全球警报”2026年10月21日，一对被统称为“PHP2Shell”的致命漏洞被紧急披露。它们潜伏了足足14年，影响范围从PHP 5到PHP 8全线版本，CVSS v4.0评分高达9.2。更具震撼力的是：发现者并
芝士焗烦恼
13浏览 2天前
发生了什么：两条“直通服务器”的超级漏洞被AI找到了2026年10月21日，PHP被曝出两个极其严重的安全漏洞，编号为CVE-2026-109618和CVE-2026-109619，业内把它们合称“PHP2Shell”。影响范
运营划水记
13浏览 2天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
