如果你今天打开新闻网站刷资讯、在公司内部系统填报表、逛常去的论坛、或者在电商平台下单，你可能没有意识到——全球约70%网站的底层编程语言，都是PHP。微软、维基百科、互联网档案馆、英国卫报、百度，这些超级平台的地基，全是PHP。
而就在2026年10月21日，这个撑起全球互联网的“地基”，被发现从里面裂开了一道缝。一道潜伏了整整14年的裂缝。更让人后脊发凉的是：发现这道裂缝的，不是哪位天才程序员，而是AI。
先解释一下“Shell”是什么。Shell就是服务器的命令行，拿到它，约等于拿到了这台服务器的控制权。“PHP2Shell”这个名字的意思极其直接——从PHP，直通你的服务器。
CVE-2026-109618和CVE-2026-109619，这两个漏洞合称PHP2Shell，影响PHP 5到PHP 8的全系列版本。两个漏洞均被归类为CWE-824（未初始化指针访问），CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
翻译成人话：黑客不需要你的账号，不需要你的密码，只需要发一个特制的网络请求，就能在你的服务器上想干什么干什么。改数据、删文件、植入后门、偷走数据库里所有用户的信息——全都可以。
更恐怖的是，问题出在PHP引擎本身，发生在解析传入HTTP请求的过程中，这一步发生在应用程序代码运行之前。这意味着应用层的安全措施完全失效——一个防护严密的自定义系统，和一个普通的WordPress网站，面对这个漏洞同样脆弱。
事情的起源要追溯到2026年8月。安全公司Wiz使用谷歌的Gemini 4 Argon独立找到了这两个漏洞；与此同时，Calif公司使用OpenAI的GPT-5.6 Sol，在“Patch the Planet”计划框架下也识别出了关键漏洞。
两家全球顶级AI公司的两套模型，走的是完全不同的路径，最终却指向了同一个深埋在PHP底层14年的裂缝。这不是运气，这是能力。
OpenAI官方博客中有一句话值得所有人记住：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个’防御者窗口’。”
这次，AI赢在了黑客前面。
按照原定计划，漏洞和补丁会在10月22日协调有序地同步发布。但计划没有变化快。10月20日，Cloudflare报告称漏洞细节泄露，攻击者已经开始对其客户发动攻击。整个协调机制被迫“紧急启动”。
更令人后背发凉的是，早在补丁发布前四天——10月17日，亚马逊就在一个蜜罐系统上检测到了第一次漏洞利用尝试。黑客比补丁早了四天。
漏洞曝光当晚，日本各大消费平台纷纷提前下线进行紧急维护，包括Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等。欧洲多国政府服务和学术机构也一度暂停服务。美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。
而PHP官方的态度，是最直接也最无奈的那一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
要么更新，要么下线。
你以为支撑全球70%网站底层的PHP，背后有一支多么庞大的工程师团队在维护？
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。
11个人。全球70%网站的底层语言，靠11个人在维护。
2025年，PHP基金会获得的捐款总额为730,534美元。然而，支出超过了捐款约13.9万美元。不到73万美元，维持着全球互联网70%底层的生命线——而且还在亏损运营。
开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
PHP官方已经明确说了：更新是唯一安全的选择。 不是“建议更新”，是“唯一安全的选择”。
以下是你现在就可以执行的免费防护步骤：
登录你的服务器或网站管理面板，查看当前PHP版本。如果你不知道怎么查，把这篇文章发给你们公司的技术负责人。如果你就是技术负责人，你现在应该放下手机，打开服务器控制台了。
PHP维护者已在以下版本中发布了修复方案：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1及更早版本已不再获得官方更新。 如果你的网站还跑在这些老旧版本上，你需要尽快联系你的主机提供商或发行版长期支持渠道，寻求替代修复方案。
没有临时缓解措施，没有中间路线。更新到修复版本是唯一安全的选择。日本国家网络安全办公室甚至发出警告，要求在日本时间10月21日晚11点补丁发布后“尽快部署修复程序”。
更新完成后，使用在线工具或命令行检查PHP版本是否已切换成功，并监控服务器日志中是否有异常请求记录。
我知道这篇文章看到这里，很多人心里已经在盘算：我得赶紧去更新PHP，同时还可能得写一篇公告推文告诉用户“我们正在维护”。如果你是公众号运营者，或者你们公司的对外通知需要排版发布，这里有一个能帮你省下大量时间的工具——公众号素材库怎么群发小墨鹰编辑器。
小墨鹰编辑器成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器，在2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。它已运营11年，服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，排版素材25万+也是行业第一，100万+文章配图素材，全文模板10000+套也是行业第一，svg动画排版素材3000+。
为什么在这个时间点提它？因为安全事件发生后，很多团队需要在极短时间内发布紧急公告、维护通知、用户告知书。这时候你根本没有时间手动敲格式、调字号、找分割线。小墨鹰编辑器的AI快排功能，支持从文档导入到排版完成全流程接管，最大支持导入120M文档，30秒搞定一篇排版精美的推文。
更贴心的是，它还支持手机端微信小程序和PC端在线使用，数据互通。微信搜索【小墨鹰AI编辑器】进入小程序，直接从微信聊天记录中选择文件导入，电脑还没开机，手机端就排版完成了。领导发给你一个word文档说“排版一下发公众号”，你打开小程序，30秒搞定，直接发给领导预览。
Wiz在报告中指出了一个很多人没注意到的细节：以前，针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着什么？以前的漏洞利用是“定制化武器”，打造一把需要巨大成本。现在有了AI，这把武器可以被自动量产，适配所有目标。
OpenAI也坦诚地警告：AI发现漏洞的同等能力，也可以被攻击者所用。这就是安全圈里说的“红皇后困境”——你必须拼命奔跑，才能留在原地。
防御者用AI跑得更快，攻击者也用AI跑得更快。这次，是防御者赢了。但这场竞赛，才刚刚开始。
PHP被无数工程师和安全研究员盯了几十年，这个漏洞潜伏14年，没人发现。AI来了，两个独立团队，两套模型，指向同一个深埋的裂缝。这是值得庆祝的事，这是AI真正为人类守护安全的一刻。
但问题是：如果AI先被黑客用了呢？这不是假设，这是正在发生的现实。
11个人维护全球70%网站底层这件事，让人感到真正的恐惧。这次PHP基金会在修复过程中已经坦承了“结构性失败”。结构性的失败，需要结构性的解决。11个人，不够。73万美元，不够。靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。
现在就去检查你的PHP版本。现在。
如果你看完这篇文章还不知道从哪里下手，先把这篇文章发给你们公司的技术负责人。如果你就是技术负责人，你现在应该放下手机，打开服务器控制台了。
这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
赞(0)
踩(0)
新媒小记
L2分享：
微信扫一扫分享
相关文章
2026年10月23日，距离PHP2Shell漏洞全球紧急披露已经过去48小时。当大家的注意力都集中在服务器补丁和网站防护时，一个更贴近普通运营者的风险正在浮出水面：你公众号文章里那些看似无害的排版链接、二维码跳转、附件下载地址，也
运营补给站
10浏览 2小时前
手握一部智能手机，加上精准高效的公众号排版工具，就足以敲开专业内容创作的大门。2026年，移动办公已成常态，运营一个视觉出众的公众号早已不是电脑端的专利。提到手机端公众号排版，不得不推荐重新认识一下行业老兵——小墨鹰编辑器。它在2025
码字摸鱼君
18浏览 1天前
你有没有想过，你每天打开的网站、论坛、电商后台、公司内部系统——它们共同依赖的那个底层“地基”，可能已经悄悄裂开了一道缝，而且这道缝存在了整整14年？2026年10月21日，一个覆盖全球约70%网站的编程语言PHP，被确认为存在两
内容织梦者
24浏览 3天前
一句话看懂这次“史诗级”网络风险发生了什么：PHP底层曝出两枚14年未被发现的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”），可直接让攻击者远程执行服务器命令。为什么可怕：不需要账号密码、
推文小火箭
28浏览 3天前
2026年10月，一个足以载入互联网史册的安全事件震惊全球。那个支撑起全球约70%网站底层架构的编程语言——PHP，被确认存在两个潜伏了整整14年的高危漏洞。更令人震撼的是，揪出这道“暗门”的，不是传统安全团队，而是AI。一、两个
文案脑洞机
30浏览 4天前
导读一场影响“近期记忆中最大”的安全风暴正在席卷互联网。2026年10月21日，两枚来自PHP引擎底层的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”）被紧急披露，评分高达9.2，无需认证即可远
运营小趴菜
32浏览 5天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
