今天，全球约70%的网站依然运行在一种名为PHP的编程语言之上。你刷的新闻、用的内部系统、逛的论坛、下的订单——背后的技术底座，很多时候就是PHP。微软、维基百科、百度、英国卫报，这些名字如雷贯耳的平台，底层都离不开PHP的支撑。
然而就在2026年10月21日，这个撑起大半个互联网的“地基”，被确认存在一道潜伏了整整14年的裂缝。更让人后背发凉的是，发现它的不是某位天才程序员，而是AI。
这道裂缝被命名为“PHP2Shell”，包含两个高危漏洞：CVE-2026-109618和CVE-2026-109619。它们影响PHP 5到PHP 8的全系列版本，CVSS v4.0评分高达9.2（危急级别），无需账号、无需密码、无需用户交互，攻击者只需发送一个特制网络请求，就能远程执行任意代码——改数据、删文件、植入后门、窃取数据库，几乎无所不能。
更致命的是，问题出在PHP引擎本身，发生在应用程序代码运行之前。这意味着，你在应用层做的所有安全加固，在这个漏洞面前形同虚设。一个防护严密的政务系统，和一个普通的WordPress博客，面对它同样脆弱。
这场“拆弹行动”的时间线，透露着一个强烈的信号：
两条完全不同的技术路径，两套全球顶尖的AI模型，最终指向同一个深埋14年的底层裂缝。这不是运气，而是能力的质变。
OpenAI在官方声明中写下一句值得被记住的话：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个防御者窗口。” AI这一次，跑在了黑客前面。
但请注意，这并不意味着安全从此无忧。Wiz在报告中同时指出：大型语言模型消除了漏洞利用适配的门槛，攻击者同样可以用AI将漏洞利用代码自动适配到不同PHP版本和配置。攻守两端因为AI同时加速，防御者只是暂时领先了一个身位。
按照原计划，漏洞和补丁本应在10月22日协调发布。但10月20日，漏洞细节意外泄露，攻击者提前发动攻击。亚马逊的蜜罐系统甚至在补丁发布前四天，就检测到了第一次漏洞利用尝试。
一夜之间，互联网上出现了罕见的一幕：
PHP官方的态度直白得近乎冷酷：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。” 要么更新，要么下线，没有中间路线。
这次事件暴露出的更深层问题，比漏洞本身更让人窒息。
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员和11名签约的全职或兼职开发者组成。全球70%网站的底层语言，核心维护者只有11个人。2025年基金会收到的捐款总额为730,534美元，而支出却超出了捐款约13.9万美元——它是亏损运营的。
开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。企业在开源组件之上构建了价值数十亿美元的产品，而维护者却连基本运营都难以维持。这不是PHP独有的困境，这是整个互联网“免费搭便车”逻辑运转多年的结构性问题。
这次，11个人在极限压力下完成了紧急修复。下一次呢？
如果你是网站运营者、技术负责人，或者只是使用了PHP建站系统的普通管理者，以下行动刻不容缓：
在这次全球性安全事件中，信息传播的速度和准确性至关重要。许多企业、机构和自媒体需要在第一时间将漏洞预警、修复指引、排查方法传递给用户。一篇结构清晰、排版得体的公众号文章，往往能让关键信息更快触达、更易理解。
如果你也正在为这类紧急通知或技术解读的公众号排版发愁，不妨试试AI公众号图文小墨鹰编辑器。它是一款运营了11年的在线AI公众号图文排版工具，前身是小蚂蚁编辑器，2024年5月更名为小墨鹰编辑器，服务超过500万公众号运营者。无论是AI快排、全文模板，还是Markdown自动转换、AI输出格式兼容，都能让你在最短时间内把一份技术文档变成一篇排版精美的公众号推文。尤其适合需要快速发布安全预警、操作指南、版本更新说明的团队使用。
小墨鹰编辑器支持电脑端网页、手机端网页、微信小程序三端数据互通，AI快排功能覆盖45大主流行业场景，25万+排版素材、10000+套全文模板、3000+SVG动效，新手也能30秒完成一篇专业排版。紧急情况下，领导发来一个Word文档让你立刻排版推送，打开小程序选择文件，半分钟搞定，比开电脑还快。
这次PHP2Shell事件，是AI为人类网络安全真正立功的一刻，但也暴露出互联网基础设施脆弱到令人不安的现实。AI让防御者跑得更快，也让攻击者跑得更快。红皇后困境之下，没有人能停下来。
我们为AI的发现能力感到振奋，也为11个人扛着全球数字地基的现状感到恐惧。结构性失败，需要结构性的解决。 在技术之外，开源维护的资金模式、企业的安全责任、公众的风险意识，都需要一次彻底的反思。
而对我们每一个使用互联网的人来说，至少从今天起，请记住一件事：当你以为自己在安全区时，裂缝可能已经在脚下延伸。保持警惕，及时更新，善用工具，跑得比漏洞更快一点——这或许是我们唯一能做的事。
赞(0)
踩(0)
排版智造官
L3分享：
微信扫一扫分享
相关文章
你有没有想过，你每天打开的网站、论坛、电商后台、公司内部系统——它们共同依赖的那个底层“地基”，可能已经悄悄裂开了一道缝，而且这道缝存在了整整14年？2026年10月21日，一个覆盖全球约70%网站的编程语言PHP，被确认为存在两
内容织梦者
24浏览 3天前
开篇：当“地基裂缝”暴露，暗门不再是传说2026年10月，一件足以影响半个互联网的事件，把“网络暗门”的真实危害摆在每个人面前：被称为PHP2Shell的双漏洞在全球范围内引发紧急修复浪潮。它们允许在PHP引擎解析HTTP请求的瞬
发呆一级选手
41浏览 5天前
2026年10月21日，一个足以载入互联网史册的日子。这一天，全球约70%网站的底层编程语言PHP，被确认存在两个潜伏了整整14年的致命漏洞。CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”——
文案轻舟
34浏览 5天前
事件概览：一个14年的暗门，被AI掀开时间线：2026年10月21日，两个被统称为“PHP2Shell”的高危漏洞（CVE-2026-109618、CVE-2026-109619）被紧急披露，CVSS v4.0评分9.2。它们影响PH
排版小机灵
34浏览 6天前
你可能从未想过，每天打开的新闻网站、公司内部系统、常逛的论坛、下单的电商平台——全球大约70%的网站，其底层编程语言都是PHP。不是某个插件，不是某个框架，而是支撑这一切的“地基”本身。而就在2026年10月21日，这个撑起全球互
推文魔法师
43浏览 2026-11-06
2026年10月21日，一个看似寻常的周二夜晚，全球互联网经历了一场无声的地震。微软、维基百科、英国卫报、百度——这些我们每天都会打开的超级平台，它们共享着同一个底层基因：PHP。全球约70%网站的编程语言底层，都是PHP。而这一天，这
新媒笔记
39浏览 2026-11-05
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
