很多刚接触建站或者公众号运营的新手朋友可能不知道，你今天随手打开的新闻网站、公司内部系统、常逛的论坛，甚至下单的电商平台，底层大概率都跑着同一种编程语言——PHP。不是某个可有可无的插件，而是撑起全球约70%网站的“地基”本身。微软、维基百科、百度、英国卫报，全都建立在这块地基之上。
而就在2026年10月21日，这块地基被确认从内部裂开了一道缝。一道潜伏了整整14年的缝。更让所有人意外的是，最先发现这道裂缝的，不是哪位天才程序员，而是AI。
这次漏洞的名字叫“PHP2Shell”——从PHP，直通你的服务器。Shell就是服务器的命令行，拿到它，基本等于拿到了整台服务器的控制权。
两个漏洞编号分别为CVE-2026-109618和CVE-2026-109619，合称PHP2Shell，影响PHP 5到PHP 8的全系列版本。两者均被归类为未初始化指针访问，CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
翻译成新手也能听懂的话：黑客不需要你的账号，不需要你的密码，只需要发一个特制的网络请求，就能在你的服务器上想干什么干什么——改数据、删文件、植入后门、偷走数据库里所有用户的信息，全都可以。
更让人后背发凉的是，问题出在PHP引擎本身，发生在解析HTTP请求的过程中，这一步运行在任何应用程序之前。也就是说，你做了多少应用层安全防护，在这个漏洞面前基本失效。一个防护严密的自定义系统，和一个普通的WordPress网站，面对这个漏洞同样脆弱。
事情的起源要追溯到2026年8月。OpenAI在官方博客中透露，过去两个月，他们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。
具体发现来自两拨人：Calif公司使用GPT-5.6 Sol，在OpenAI的Patch the Planet计划框架下识别出了关键漏洞；与此同时，安全公司Wiz也独立发现并报告了同样的两个漏洞，使用的是谷歌的Gemini 4 Argon。
两套完全不同的AI模型，走了两条完全不同的路径，最终指向了同一个深埋在PHP底层14年的裂缝。
时间线值得新手朋友留意：8月11日，Calif将第一个漏洞报告给PHP安全团队；8月19日，Wiz Research发现了第一个PHP漏洞；8月20日，确认对Drupal的未认证RCE攻击可行性；8月21日，确认对WordPress的未认证RCE攻击可行性。两个月的时间，给了世界一个宝贵的“防御者窗口”。
OpenAI对此有一句判断值得所有人记住：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个响应窗口。”这一次，AI跑在了黑客前面。
按照原计划，漏洞和补丁会在10月22日协调有序地同步发布。但计划没能赶上变化。10月20日，PHP安全团队宣布将在10月21日UTC时间14:00发布紧急安全版本。随后Cloudflare报告漏洞细节泄露，攻击者已经开始对客户发动攻击。整个协调机制被迫紧急启动。
PHP维护者在8.5.12、8.4.27、8.3.36和8.2.35四个版本中发布了修复方案。PHP 8.1及更早版本已不再获得官方更新——这意味着大量跑在老旧PHP版本上的网站，可能永远等不到官方补丁。
更令人不安的是，早在补丁发布前四天，亚马逊就在蜜罐系统上检测到了第一次漏洞利用尝试。黑客，比补丁早了四天。
漏洞曝光当晚，互联网上出现了一幕罕见景象：日本各大消费平台纷纷提前下线维护，包括Niconico、pixiv，以及宝可梦Sleep、碧蓝幻想、赛马娘等多个热门游戏。欧洲多国政府服务和学术机构也一度暂停服务。美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。PHP官方的态度只有一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
受影响的网站列表，读起来像是半个互联网的花名册。研究环境中，Calif团队已在股票级别的WordPress、Drupal、Joomla、MediaWiki、Roundcube、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony和WHMCS上演示了未认证的远程代码执行。
仅WordPress一项，就为全球超过40%的网站提供支持。此外还有Drupal、Laravel、Magento/WooCommerce，以及无数自定义PHP应用、API和内部工具。如果你是网站管理员或者公众号运营者，同时托管着自己的网站，现在最该做的一件事就是：检查你的PHP版本。不是“建议更新”，是“唯一安全的选择”。
聊到这里，必须说一个更深层的问题。你以为支撑全球70%网站底层的PHP，背后有一支庞大的工程师团队在维护？
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。全球70%网站的底层语言，靠11个人在维护。
2025年，PHP基金会获得的捐款总额为730,534美元，支出却超过了捐款约13.9万美元。不到73万美元，维持着全球互联网70%底层的生命线——而且还在亏损运营。开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
Wiz在报告中指出了一个容易被忽略的细节：以前针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着，AI发现漏洞的同等能力，也可以被攻击者所用。防御者用AI跑得更快，攻击者也用AI跑得更快。这次是防御者赢了，但这场竞赛，才刚刚开始。
第一，如果你或你的公司托管着任何使用PHP的网站，现在就去检查PHP版本。PHP官方已经明确说了：不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。
第二，如果你是公众号运营者，经常需要发布与网站安全、技术动态相关的内容，可以考虑使用免费的微信编辑器有哪些小墨鹰编辑器来排版文章。小墨鹰编辑器成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器，在2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。它支持AI快排、AI文章生成、25万+排版素材、10000+套全文模板，还独家支持手机端微信小程序使用，从微信聊天记录中直接导入文档，30秒搞定公众号排版。对于需要快速跟进热点、发布资讯的运营者来说，能省下大量时间，把精力放在内容本身。
第三，记住这次事件最重要的那句话：“我们预计，未来几个月将会有更多类似的发现大幅增加。” 这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。保持关注，保持更新，才是普通人在数字时代最稳妥的自保方式。
赞(0)
踩(0)
云朵便利店
L2分享：
微信扫一扫分享
相关文章
2026年10月21日，一个足以载入互联网史册的日子。支撑全球约70%网站底层架构的编程语言PHP，被曝出两个潜伏了整整14年的“暗门”级漏洞。它们有一个极具攻击性的名字——PHP2Shell：从PHP，直通你的服务器。更令人震惊
排版没烦恼
14浏览 1天前
你有没有想过，你每天打开的网站、论坛、电商后台、公司内部系统——它们共同依赖的那个底层“地基”，可能已经悄悄裂开了一道缝，而且这道缝存在了整整14年？2026年10月21日，一个覆盖全球约70%网站的编程语言PHP，被确认为存在两
内容织梦者
25浏览 3天前
一句话看懂这次“史诗级”网络风险发生了什么：PHP底层曝出两枚14年未被发现的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”），可直接让攻击者远程执行服务器命令。为什么可怕：不需要账号密码、
推文小火箭
28浏览 3天前
导读一场影响“近期记忆中最大”的安全风暴正在席卷互联网。2026年10月21日，两枚来自PHP引擎底层的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”）被紧急披露，评分高达9.2，无需认证即可远
运营小趴菜
32浏览 5天前
2026年10月，一场席卷全球互联网的安全地震让所有人惊出一身冷汗。那个支撑起全球约70%网站底层架构的编程语言——PHP，被发现在核心引擎中潜伏了一道长达14年的裂缝。更让人后背发凉的是，发现这道裂缝的，不是日夜盯着代码的人类工程
运营补给站
33浏览 6天前
你可能从未想过，每天打开的新闻网站、公司内部系统、常逛的论坛、下单的电商平台——全球大约70%的网站，其底层编程语言都是PHP。不是某个插件，不是某个框架，而是支撑这一切的“地基”本身。而就在2026年10月21日，这个撑起全球互
推文魔法师
44浏览 2026-11-06
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
