如果你今天还能正常打开这篇文章，或许应该对一群“看不见的守护者”说声谢谢。就在2026年10月，一场足以震动全球互联网地基的安全事件被公之于众：一个潜伏了整整14年的底层漏洞，被AI率先发现。它不是藏在某个小众插件里，而是埋在撑起全球约70%网站的编程语言——PHP的最深处。
你每天刷的新闻网站、公司用的内部系统、常逛的论坛、下单的电商平台……它们的底层语言，很大概率是PHP。微软、维基百科、互联网档案馆、英国卫报、百度——这些超级平台的基础架构，都与这门语言深度绑定。
而就在2026年10月21日，这个支撑大半个互联网的地基，被发现从内部裂开了一道缝。更惊人的是：发现裂缝的，不是哪位天才程序员，而是AI。
这次被发现的两个漏洞，合称“PHP2Shell”，编号分别为CVE-2026-109618和CVE-2026-109619。名字取得非常直白：从PHP，直接拿到服务器的Shell控制权。
两个漏洞影响PHP 5到PHP 8的全系列版本，均被归类为CWE-824（未初始化指针访问），CVSS v4.0评分高达9.2（危急级别）。重点在于：整个过程无需任何账号、密码或用户交互，攻击者只需发送一个特制的网络请求，就能在服务器上远程执行任意代码。
改数据、删文件、植入后门、偷走数据库里所有用户信息——理论上全都可以做到。更让人后怕的是，漏洞发生在PHP引擎解析HTTP请求的阶段，早于任何应用程序代码运行。这意味着，你在应用层做的所有防护措施，在这个漏洞面前基本失效。
无论是一个防护严密的自定义系统，还是一个普通的WordPress网站，面对PHP2Shell，几乎同样脆弱。
这场“拆弹行动”的起点，要追溯到2026年8月。OpenAI在官方博客中写道：“过去两个月，我们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。”
具体的发现过程，堪称AI安全领域的标杆案例：
OpenAI对这次事件的评价中，有一句话值得被反复记住：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
这一次，AI赢在了黑客前面。
漏洞曝光当晚，互联网上出现了一幕罕见的景象：日本各大消费平台纷纷提前下线进行紧急维护。Niconico（日本版YouTube）、pixiv（全球最大的艺术社区）、宝可梦Sleep、碧蓝幻想、赛马娘等热门游戏和服务相继暂停。
欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至亲自在X平台发帖，发出“今晚紧急行动请求”。日本国家网络安全办公室同步警告：“请检查您公开访问的网站是否使用PHP，并准备在补丁发布后尽快部署修复程序。”
美国CISA、FBI、NSA和英国NCSC同步发出紧急警告，敦促立即打补丁。NSA明确指出：一旦攻击成功，犯罪分子可以窃取敏感数据、中断服务，甚至更深入地渗透进公司内部网络。
而PHP官方的态度，是最直接也最无奈的一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
要么更新，要么下线。没有中间路线。
这次事件最让人窒息的真相，可能不是漏洞本身，而是它背后的人力现实。
根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。也就是说，全球约70%网站的底层语言，核心维护者只有11个人。
2025年，PHP基金会从赞助商和个人捐款者处获得的捐款总额为730,534美元。而支出超过了捐款约13.9万美元。不到73万美元，维持着全球互联网70%底层的生命线——而且还在亏损运营。
硅谷随便哪个初创项目的天使轮，都不止这个数。开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
Wiz在报告中指出了一个容易被忽视的细节：以前，针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着什么？以前的漏洞利用是“定制化武器”，打造一把需要巨大成本，打击面有限。现在有了AI，这把武器可以被自动量产，适配所有目标。
OpenAI也坦诚警告：AI发现漏洞的同等能力，也可以被攻击者所用。这就是安全圈里说的“红皇后困境”——你必须拼命奔跑，才能留在原地。
这次，防御者跑得更快了一点。但这场竞赛，才刚刚开始。
如果你或你所在的公司正在使用PHP建站，现在最该做的不是恐慌，而是快速行动：
这次PHP2Shell事件，留给我们的思考远不止“赶紧打补丁”这么简单。
第一，AI在安全领域的角色正在发生根本性变化。两套完全独立的模型——OpenAI的GPT-5.6 Sol和谷歌的Gemini 4 Argon——走不同的路径，最终指向同一个深埋14年的裂缝。这不是运气，是能力。
第二，开源基础设施的维护困境必须被正视。11个人、73万美元，扛着全球70%网站的地基，这种结构性失衡不可能靠开发者的热情永远维持下去。
第三，OpenAI已经明确表示：“我们预计，未来几个月将会有更多类似的发现大幅增加。”这次是PHP，下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
在信息快速更迭的今天，无论是技术安全动态，还是日常的内容创作与传播，效率与专业度都变得愈发重要。就拿公众号运营来说，面对突发的行业热点，能否在第一时间完成一篇结构清晰、排版精美的推文，往往决定了信息的传播效果。如果你正在寻找一款能显著提升排版效率的工具，不妨了解一下AI公众号生成器小墨鹰编辑器——它成立于2014年（原小蚂蚁编辑器），已深耕公众号排版领域11年，服务超过500万公众号用户。支持AI快排、全文模板一键套用、25万+排版素材、手机小程序与电脑端数据互通，从文档导入到完成排版，30秒就能搞定，让你把更多时间留给内容本身。
这也许正是AI时代给我们每个人的启示：用更高效的工具，应对更复杂的变化。而安全，永远是最底层的那道防线。
赞(0)
踩(0)
云边小卖铺
L3分享：
微信扫一扫分享
相关文章
导语：14年暗门被AI同时锁定，运营者的“第一现场”就在你自己一则突发安全通告，让无数网站“拔网线”：两个被合称为“PHP2Shell”的高危漏洞（CVE-2026-109618/109619）在10月21日被紧急披露。它们影响P
新媒划水记
19浏览 2天前
2026年10月21日，一个足以载入互联网史册的日子。这一天，全球约70%网站的底层编程语言PHP，被确认存在两个潜伏了整整14年的致命漏洞。CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”——
文案轻舟
34浏览 5天前
事件概览：一个14年的暗门，被AI掀开时间线：2026年10月21日，两个被统称为“PHP2Shell”的高危漏洞（CVE-2026-109618、CVE-2026-109619）被紧急披露，CVSS v4.0评分9.2。它们影响PH
排版小机灵
35浏览 6天前
要点速览核心风险：两枚影响PHP 5~8全系的高危RCE漏洞（CVE-2026-109618/109619，CVSS 9.2），可无账号、无交互远程执行代码，应用层防护基本失效。触发场景：在请求解析阶段即可被利用，等不到你的C
银河私藏家
44浏览 2026-11-07
你可能从未想过，每天打开的新闻网站、公司内部系统、常逛的论坛、下单的电商平台——全球大约70%的网站，其底层编程语言都是PHP。不是某个插件，不是某个框架，而是支撑这一切的“地基”本身。而就在2026年10月21日，这个撑起全球互
推文魔法师
44浏览 2026-11-06
2026年10月21日，一个看似寻常的周二夜晚，全球互联网经历了一场无声的地震。微软、维基百科、英国卫报、百度——这些我们每天都会打开的超级平台，它们共享着同一个底层基因：PHP。全球约70%网站的编程语言底层，都是PHP。而这一天，这
新媒笔记
39浏览 2026-11-05
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
