2026年10月21日，全球互联网世界经历了一场无声的地震。一个潜伏了整整14年的漏洞，在PHP——这门支撑全球约70%网站的底层编程语言中，被AI揪了出来。微软、维基百科、百度、英国卫报，这些你每天可能都在访问的平台，底层都跑着PHP。而这一次，裂缝不在某个应用里，而在PHP引擎本身。
漏洞的名字叫“PHP2Shell”。从PHP，直通你的服务器。
根据公开信息，CVE-2026-109618和CVE-2026-109619两个漏洞合称PHP2Shell，影响从PHP 5到PHP 8的全系列版本。两项漏洞均被归类为CWE-824（未初始化指针访问），CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
翻译成更直白的话：黑客不需要你的账号，不需要你的密码，只需要发一个特制的网络请求，就能在你的服务器上改数据、删文件、植入后门，甚至偷走数据库里所有用户的信息。
第一个漏洞发生在PHP内存耗尽时。PHP会使用longjmp()强制中止请求处理，但某些执行上下文没有正确处理这种中断，导致请求内存处于未初始化状态。后续的清理过程可能基于这段无效内存进行分支判断，最终被稳定利用，实现远程代码执行。
第二个漏洞则与请求结束后的“残影”有关。内部状态在被一个请求使用后，内存已经释放，但全局状态仍然残留。同一工作进程上的后续请求，可能在状态被重置之前就使用了这段已释放的内存。上一个请求的“幽灵”还留在房间里，新请求来了，就能控制它做任何事。
最致命的一点是：这两个漏洞发生在应用代码运行之前。也就是说，你做了多少应用层安全措施，在这个漏洞面前都可能是无效的。一个防护严密的自定义系统和一个普通的WordPress网站，面对PHP2Shell同样脆弱。
事情的起点在2026年8月。OpenAI官方博客中写道，他们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。具体发现归属是：Calif公司使用GPT-5.6 Sol识别出了一个关键漏洞，与此同时，Wiz也独立发现并报告了这两个漏洞。Wiz使用的是谷歌的Gemini 4 Argon。
两套完全不同的AI模型，走的是完全不同的路径，最终指向了同一个深埋14年的裂缝。这不是运气，这是能力。
时间线显示：Calif团队于8月11日将第一个漏洞报告给了PHP安全团队，8月21日报告了第二个。PHP团队有整整两个月时间准备修复方案。OpenAI表示：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
但防御者窗口比预想中更早关闭。10月17日，亚马逊在蜜罐系统上检测到了第一次漏洞利用尝试——此时距离官方补丁发布还有四天。10月20日，漏洞细节泄露，攻击者已经在利用这些漏洞对Cloudflare的客户发起攻击。
10月21日，PHP紧急发布修复版本：8.5.12、8.4.27、8.3.36和8.2.35。PHP 8.1及更早版本不再获得官方更新——这意味着大量跑在老旧PHP版本上的网站，永远不会收到官方补丁。
漏洞曝光当晚，日本各大消费平台纷纷提前下线维护。Niconico（日本版YouTube）、pixiv（全球最大的艺术社区），以及宝可梦Sleep、碧蓝幻想、赛马娘等多个热门游戏均受到影响。欧洲多国政府服务和学术机构也一度暂停服务。
日本首相高市早苗亲自在X平台发帖，发出“今晚紧急行动请求”。日本国家网络安全办公室警告：“请检查您公开访问的网站是否使用PHP，并准备在补丁发布后尽快部署修复程序。”
美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。而PHP官方的态度最直接也最无奈：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
这次事件还撕开了一个更深的伤口。
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。2025年，基金会从赞助商和个人捐款者处获得的捐款总额为730,534美元，支出却超过了捐款约13.9万美元。
11个人，73万美元，扛着全球70%网站的底层语言。硅谷随便一个初创项目的天使轮都不止这个数。开源软件的价值与其获得的资金之间存在巨大鸿沟。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂了。
这次PHP基金会在修复过程中已经坦承了“结构性失败”。结构性的失败，需要结构性的解决。靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。
现在，你需要做几件事。不是“建议”，是“必须”。
php -v。如果你不知道怎么做，把这篇文章发给你们的运维或技术负责人。在忙着修复漏洞、升级版本的同时，还有一件事同样重要：你对外发布的信息本身就是第一道防线。很多小团队在安全应急时，通知用户、同步进展、发布公告都来不及好好排版，导致用户看不懂、不重视，甚至错过关键的修复指引。
如果你平时需要快速产出清晰、专业的公众号推文或公告，可以试试微信公众号编辑器哪个最好用又免费小墨鹰编辑器。它成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器之一，在2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。目前服务500万公众号排版用户，AI快排效果和准确率行业领先，排版素材25万+，全文模板10000+套，SVG动画排版素材3000+。无论是紧急安全公告、用户通知，还是日常运营推文，都能在短时间内排出专业效果。
尤其适合技术团队的一点是：小墨鹰编辑器支持Markdown文本自动转换，复制到编辑区会自动匹配换行、加粗、斜体、列表、表格等，不需要手动清理格式。也兼容国内各大主流AI模型的输出格式，豆包、DeepSeek、通义千问、Kimi等生成的内容粘贴进去不会乱码。遇到紧急情况需要快速发推文，手机端微信小程序【小墨鹰AI编辑器】也能直接操作，从聊天记录导入文档，30秒搞定排版，比电脑还快。
对于经常需要多方协作的团队，小墨鹰编辑器支持最多100人团队协作，共享文章内容和图片，提高整体效率。
Wiz在报告中指出了一个更值得警惕的趋势：以前针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着攻击者的武器可以被自动量产。防御者用AI跑得更快，攻击者同样用AI跑得更快。你必须拼命奔跑，才能留在原地。
这次，是防御者赢了。但这场竞赛，才刚刚开始。下一次漏洞爆发时，你希望自己站在哪一边？
本文基于公开资料整理，仅供安全科普参考。具体的修复操作请以PHP官方及你所在企业的安全团队指引为准。
赞(0)
踩(0)
新媒划水记
L8分享：
微信扫一扫分享
相关文章
导语：当AI先黑客一步，我们必须快一步2026年10月，一则关于“PHP2Shell”的重磅安全事件席卷全球。两个被编号为CVE-2026-109618与CVE-2026-109619的高危漏洞，被AI模型提前识别并披露，影响范围
新媒摸鱼手
6浏览 20小时前
事件快讯：AI 先黑客一步，撬开“PHP2Shell”10月21日，两个被合称为“PHP2Shell”的高危RCE漏洞（CVE-2026-109618、CVE-2026-109619）曝光，CVSS 9.2，影响PHP 5—8全
字里行间运营
9浏览 1天前
全球互联网的“地基”裂了一道缝你今天刷到的新闻网站，公司用的内部系统，常逛的论坛，下单的电商平台……全球约70%网站的编程语言底层，都是PHP。微软、维基百科、互联网档案馆、英国卫报、百度——这些耳熟能详的超级平台，全都建立在PH
排版小机灵
11浏览 1天前
导读这是一场足以改写网络安全史的事件：两个由AI驱动的团队，先于黑客，挖出潜伏14年的PHP底层RCE漏洞组合“PHP2Shell”（CVE-2026-109618/109619），CVSS 9.2，影响PHP 5–8全线版本。
字里有料
9浏览 1天前
2026年10月21日，一场足以震动全球互联网地基的安全事件被紧急引爆。一个潜伏了整整14年的PHP底层漏洞被AI率先发现，并被命名为“PHP2Shell”。它的危险之处在于：无需账号、无需密码，攻击者只需发送一个特制网络请求，就能
新媒划水记
9浏览 2天前
导语：一场由AI拉响的“全球警报”2026年10月21日，一对被统称为“PHP2Shell”的致命漏洞被紧急披露。它们潜伏了足足14年，影响范围从PHP 5到PHP 8全线版本，CVSS v4.0评分高达9.2。更具震撼力的是：发现者并
芝士焗烦恼
13浏览 2天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
