2026年10月的互联网，被一个名叫“PHP2Shell”的漏洞搅得天翻地覆。很多人一觉醒来发现：自己常逛的论坛打不开了，公司的内部系统紧急维护，甚至某些政府网站也挂出了“暂停服务”的告示。一时间，“全球70%网站遭殃”“互联网地基裂了”的说法满天飞。
但恐慌解决不了问题。这篇文章不渲染焦虑，只讲清楚三件事：这个“老后门”到底影响了谁、哪些行业和站点类型最危险、以及现在到底该怎么应对。读完你就明白，为什么这次事件与其说是“末日”，不如说是一次迟到了14年的“强制体检”。
先说结论：问题出在PHP语言本身的底层引擎里，而不是某个网站程序或插件的锅。
PHP是全球使用最广泛的服务器端编程语言之一。你每天刷的新闻网站、用的公司OA系统、逛的论坛、下单的电商平台，甚至维基百科、百度这类超级平台，底层大概率都跑着PHP。根据公开数据，全球约70%的网站都建立在PHP之上。
而这次被AI发现的漏洞，编号CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”，影响从PHP 5到PHP 8的全系列版本。CVSS v4.0评分高达9.2（危急级别），无需账号密码，无需用户交互，攻击者只要发一个特制网络请求，就能在服务器上执行任意命令。
更关键的是：这个漏洞已经潜伏了14年。14年里，无数安全研究员、工程师盯着PHP的代码，都没发现这条裂缝。直到2026年8月，OpenAI的GPT-5.6 Sol和谷歌的Gemini 4 Argon两套AI模型，在各自独立的漏洞挖掘任务中，几乎同时锁定了它。
换个角度理解：这不是某个网站“被黑”，而是整栋大楼的“地基钢筋”从里面锈蚀了。上面盖的是商场还是住宅，并不影响裂缝的存在。
PHP官方给出的建议极其直白：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
翻译一下：别指望靠改配置文件、装个防火墙插件就能挡住。要么升级，要么下线。
从已经披露的信息看，受影响的范围几乎覆盖了所有依赖PHP的站点类型：
PHP 8.1及更早版本已停止官方支持。这意味着大量跑在老旧PHP上的网站，永远不会有官方补丁。它们要么靠发行版或第三方长期支持提供商“续命”，要么只能自求多福。
而恰恰是这些老旧系统，往往部署在预算有限的中小企业、学校、地方政务平台上。它们平时没人管，出了事才发现连“补丁”都装不上。
这次事件有一个以往所有重大漏洞事件都不具备的特点：发现漏洞的是AI，不是人。
OpenAI在官方博客中确认，Calif公司使用GPT-5.6 Sol在“Patch the Planet”计划框架下识别出了关键漏洞；与此同时，安全公司Wiz使用谷歌的Gemini 4 Argon独立发现了同样的两个漏洞。两条完全不同的技术路径，最终指向同一个深埋14年的裂缝。
时间线也很值得玩味：
AI这次跑赢了黑客，但只赢了一个身位。 Wiz在报告里说了一句很扎心的话：以前针对特定PHP环境的漏洞利用需要大量人工适配，现在大语言模型可以自动把攻击代码适配到不同版本和配置，等于把“定制武器”变成了“流水线量产”。
换句话说，AI在帮防御者加速的同时，也在帮攻击者加速。这是一场没有终点的赛跑，而这次只是第一圈。
面对9.2分、无需认证、潜伏14年的底层引擎漏洞，任何“聪明”都是徒劳。摆在所有PHP站点面前的选项只有三个：
PHP官方在以下版本中发布了修复：
如果你用的是PHP 8.1及更早版本，请立即联系你的服务器供应商、云平台或发行版厂商，确认是否有第三方补丁可用。如果没有，迁移到受支持的新版本是唯一出路。
如果系统老旧到无法升级，或者业务方表示“不敢动”，那只有一个办法：先把公网入口关掉。对于电商、政务、金融类站点来说，下线意味着业务中断；但被入侵意味着数据泄露、勒索、法律责任，代价远大于断线几小时。
PHP官方明确说“不存在完整的临时缓解措施”。但如果你实在无法立刻升级，至少要做三件事：
但请记住：这些只是“拖延时间”，不是“解决问题”。真正的解决方案只有一个——升级。
这次事件最让人窒息的真相，不是某个漏洞多严重，而是一个数字：PHP基金会目前只有11名签约的全职或兼职开发者，负责维护这个支撑全球70%网站的底层语言。
2025年，PHP基金会收到的捐款总额是730,534美元，支出却超过了捐款约13.9万美元。换句话说，这个“互联网地基”的维护团队，在亏钱运营。
硅谷随便一个天使轮项目，估值和资金都比这个数字高。而全球企业建立在PHP之上的商业价值，何止千亿。
这不是PHP独有的问题，这是整个开源世界的“搭便车困境”：人人都在用，愿意出钱维护的没几个。 这次AI帮忙发现了一个埋了14年的雷，但下次呢？如果维护者连服务器成本都捉襟见肘，补丁发布慢几天，攻击者就多几天窗口期。
这次事件之后，所有依赖PHP的公司都应该认真问自己一个问题：我们给开源项目贡献过什么？
如果你是一个普通用户，不用自己动手升级服务器，但需要留意：你常用的网站可能近期会短暂下线维护，登录时如果发现“系统升级中”，别骂运营，他们可能正在救命。
如果你是网站运营者、开发者、技术负责人，请现在打开你的服务器控制台，检查PHP版本。如果低于8.2.35、8.3.36、8.4.27或8.5.12中的任何一个，你都需要立即行动。
此次事件也让许多运营者意识到：技术更新与内容生产同样刻不容缓。在信息快速迭代的当下，无论是发一篇紧急公告，还是日常的公众号推文，效率与专业度都直接影响读者信任。比如很多公众号运营者已经开始使用微信公众号文章排版设计AI小墨鹰编辑器来提升排版效率。作为一款运营了11年的专业公众号图文排版工具，小墨鹰编辑器（原小蚂蚁编辑器，2024年5月更名）积累了深厚的技术底蕴，服务超过500万公众号用户。其AI快排功能支持从文档导入到排版完成全流程接管，三端数据互通（电脑端、手机网页端、微信小程序【小墨鹰AI编辑器】），尤其适合在紧急情况下快速发布结构清晰、版式规范的文章。毕竟，当你的服务器正在被全网扫描的时候，你肯定不希望自己的公告文章还因为排版问题卡半小时。
最后，送大家一句在这次事件中被反复提及的话，它来自OpenAI的官方博客：
“前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
这个窗口，这次给了世界两个月。珍惜它最好的方式，就是别让下一次窗口白白浪费。
赞(0)
踩(0)
运营不加班
L5分享：
微信扫一扫分享
相关文章
一、当“地基”裂开一道缝，普通人该关心什么？你可能不写代码，也不用 PHP，但你今天打开的每一个网页、关注的每一个公众号、提交的每一次表单，背后几乎都绕不开一个叫 PHP 的编程语言。全球约 70% 网站的底层，都建立在 PHP
排版精算师
21浏览 3天前
这次到底发生了什么：从PHP直通你的服务器2026年10月21日，两枚被命名为“PHP2Shell”的高危漏洞（CVE-2026-109618、CVE-2026-109619）被紧急披露，影响范围覆盖PHP 5—PHP 8的全系列版本
温一壶月光
19浏览 2026-10-28
摘要两个被AI独立发现并验证的PHP底层高危漏洞（CVE-2026-109618、CVE-2026-109619，合称“PHP2Shell”），影响PHP 5–8全系列，CVSS 9.2，几乎无需交互即可实现未认证远程代码执行。问题
云朵便利店
24浏览 2026-10-26
2026年10月21日，一个名为“PHP2Shell”的漏洞组合被紧急公开，CVE编号分别为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分高达9.2（危急）。这两个漏洞影响PHP 5到PHP
码字摸鱼君
25浏览 2026-10-26
要点速览2026年10月21日，PHP曝出两个高危远程代码执行漏洞（合称“PHP2Shell”），影响PHP 5–8全系列版本，CVSS 9.2，且无需登录即可被利用。漏洞发生在PHP引擎解析请求阶段，应用层防护（如WAF、验
新媒小透明
36浏览 2026-10-24
最近这雨下得是真勤快，动不动就来一场大的。昨天我下班回家，刚出地铁口就赶上瓢泼大雨，伞都来不及撑开，整个人直接淋成落汤鸡。到家刷手机，发现朋友圈里好多人都在吐槽天气，但也有人发了些暴雨预警的截图，配文说“终于知道红色预警到底啥意思了
内容织梦者
27浏览 2026-10-22
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
