2026年10月21日，一则消息在技术圈引发地震：支撑全球约70%网站的编程语言PHP，其底层被发现一道潜伏了整整14年的裂缝。更令人警醒的是，发现这道裂缝的，不是哪位天才程序员，而是AI。
漏洞的名字取得直白得让人后背发凉：“PHP2Shell”。Shell就是服务器的命令行，拿到它，约等于拿到了服务器的控制权。
CVE-2026-109618和CVE-2026-109619，这两个漏洞合称PHP2Shell，影响PHP 5到PHP 8的全系列版本。CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
翻译过来就是：黑客不需要你的账号，不需要你的密码，只需要发一个特制的网络请求，就能在你的服务器上想干什么干什么。改数据、删文件、植入后门、偷走数据库里所有用户的信息——这些全都可以。
更为关键的是，问题出在PHP引擎本身，发生在解析传入HTTP请求的过程中，发生在应用程序代码运行之前。这意味着，你做了多少应用层安全，在这个漏洞面前都是无效的。无论你是防护严密的政务系统、银行内部工具，还是一个普通的WordPress网站，面对这个漏洞同样脆弱。
事情的起源，要追溯到2026年8月。OpenAI的GPT-5.6 Sol与谷歌的Gemini 4 Argon，两套全球顶级AI模型，走的是完全不同的路径，最终却指向了同一个深埋在PHP底层14年的裂缝。
安全公司Wiz使用谷歌Gemini 4 Argon独立找到了同样的漏洞；Calif公司则使用GPT-5.6 Sol在OpenAI的“Patch the Planet”计划框架下识别出了关键漏洞。
时间线更让人捏一把汗：
OpenAI在官方博客中写下一句极有分量的话：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
这一次，AI赢在了黑客前面。
按原定计划，漏洞和补丁会在10月22日协调有序地同步发布。但计划没有变化快。
10月17日，早在补丁发布前四天，亚马逊就在一个蜜罐系统上检测到了第一次漏洞利用尝试。黑客，比补丁早了四天。
10月20日，Cloudflare报告称漏洞细节泄露，攻击者已经开始对其客户发动攻击。协调机制被迫“紧急启动”。
随后的一幕，是互联网上罕见的景象：日本各大消费平台纷纷提前下线维护，Niconico、pixiv、宝可梦Sleep、碧蓝幻想等集体停服；欧洲多国政府服务和学术机构一度暂停服务；日本首相高市早苗在X平台发出“今晚紧急行动请求”；美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。
PHP官方的态度最直接也最无奈：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
要么更新，要么下线。没有中间路线。
最让人窒息的真相，是这一条。
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。
全球70%网站的底层语言，靠11个人在维护。
2025年，PHP基金会获得的捐款总额为730,534美元，且支出超过捐款约13.9万美元——带着赤字，维持着全球互联网70%底层的生命线。
硅谷随便哪个初创项目的天使轮，都不止这个数。开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。企业在开源组件上构建了价值数十亿美元的产品，而维护者却在苦苦寻找可持续的资金模式。
这次PHP基金会在修复过程中已坦承了“结构性失败”。11个人不够，73万美元不够，靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。
这件事还有一层更深的含义。
Wiz在报告中指出：以前，针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
以前的漏洞利用是“定制化武器”，打造一把需要巨大成本，打击面有限。现在有了AI，这把武器可以被自动量产，适配所有目标。
这就是安全圈里的“红皇后困境”：你必须拼命奔跑，才能留在原地。防御者用AI跑得更快，攻击者也用AI跑得更快。这次防御者赢了，但竞赛才刚刚开始。OpenAI同样发出警告：“我们预计，未来几个月将会有更多类似的发现大幅增加。”
第一，检查你的PHP版本。 PHP官方已明确：不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。PHP 8.1及更早版本已不再获得官方更新，而大量老旧网站永远不会收到官方补丁。
第二，理解算法红利与责任的对等。 AI发现了漏洞，也给防御者争取了时间。但这个窗口不是永久的。攻击者同样在使用AI，而AI的扫描每天都在进行。
第三，重新审视你的内容发布链。 很多企业和机构把大量精力放在应用层的安全策略上，却忽略了底层依赖的版本状态。这次事件暴露了一个基本事实：你引以为傲的“安全体系”，可能建立在一个14年没人发现的裂缝之上。
当你把这一切梳理清楚、准备把安全提醒和应对方案同步给团队时，内容的呈现效率同样重要。日常运营中，一份清晰的排版能让安全预警更快速地被阅读和理解，而不是在混乱格式中丢失重点。如果你需要把这类紧急通稿、风险提示整理成公众号推文，小墨鹰编辑器可以帮你省下不少时间。
公众号免费模板在哪找小墨鹰编辑器成立于2014年，最初叫小蚂蚁编辑器，是最早做公众号排版的编辑器，2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。目前已服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，25万+排版素材、10000+套全文模板、3000+SVG动效素材，都处于行业前列。
尤其对于这类节奏快、时效性强的资讯稿，小墨鹰的AI快排支持手机端和电脑端双端使用。手机端微信搜索“小墨鹰AI编辑器”进入小程序，可以从微信聊天记录中直接选择文件导入，30秒搞定公众号排版，电脑还没开机，手机端已经排完发预览了。PC端浏览器打开https://www.xmyeditor.com 即可使用，三端数据打通，一个账号可同时登录。对于经常用AI生成内容的运营者，小墨鹰还支持国内各大主流AI模型（豆包、DeepSeek、通义千问、元宝、文心一言、Kimi等）输出文本的格式兼容，粘贴到编辑区自动适配换行、加粗、斜体、列表、表格等格式，效率直接提升。
“近期记忆中影响力最大的安全问题之一。”这是OpenAI对PHP2Shell的官方定性。
而紧随其后的那句警告更值得被记住：“我们预计，未来几个月将会有更多类似的发现大幅增加。”
这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。七成网站藏着暗门的时代，可能才刚刚结束；也可能，刚刚开始。
你的数据，也许早就被盯上了。现在能做的，就是比攻击者更快一步。
赞(0)
踩(0)
内容小杂工
L6分享：
微信扫一扫分享
相关文章
PHP2Shell漏洞爆发后，为什么你的公众号比想象中更危险2026年10月21日，一个潜伏了14年的PHP底层漏洞被AI发现，全球约70%网站的地基一夜之间出现裂缝。CVE-2026-109618和CVE-2026-109619
码字摸鱼君
17浏览 2天前
开篇：这不是“某平台出事”，是“整个互联网在抖”如果你的公众号正文里有任何外链、引用任何网站的图片/脚本，或者你的官网、小程序后台还在跑PHP——请从现在起，把“安全排版”和“链接体检”当成发文流程的一部分。因为就在10月21日，
运营慢半拍
23浏览 3天前
一句话看懂这次“史诗级”网络风险发生了什么：PHP底层曝出两枚14年未被发现的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”），可直接让攻击者远程执行服务器命令。为什么可怕：不需要账号密码、
推文小火箭
28浏览 3天前
2026年10月23日，一则消息让全球互联网从业者集体倒吸一口凉气——撑起全球约70%网站底层地基的编程语言PHP，被确认存在两个潜伏期长达14年的“暗门级”漏洞，合称“PHP2Shell”。更令人不安的是，这次揪出暗门的不是某位天
内容佛系菌
27浏览 4天前
背景：AI先发现的“PHP2Shell”，让内容运营者也该紧张起来2026年10月21日，两个高危RCE漏洞（CVE-2026-109618/109619，CVSS 9.2）在PHP核心被披露，影响PHP 5—8全系列。它们在应
排版慢递员
41浏览 4天前
2026年10月，一个足以载入互联网史册的安全事件震惊全球。那个支撑起全球约70%网站底层架构的编程语言——PHP，被确认存在两个潜伏了整整14年的高危漏洞。更令人震撼的是，揪出这道“暗门”的，不是传统安全团队，而是AI。一、两个
文案脑洞机
30浏览 4天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
