今天你打开的那个新闻网站、公司内部使用的协作系统、常逛的兴趣论坛，甚至日常下单的电商平台——全球约70%网站的编程语言底层，可能都在运行着PHP。就在2026年10月，这个支撑互联网运转的“地基”被发现存在一道潜伏了14年的裂缝，而揪出它的不是人类天才程序员，而是AI。
此次发现的漏洞被命名为“PHP2Shell”，包含CVE-2026-109618和CVE-2026-109619两个编号，影响PHP 5到PHP 8的全系列版本。两个漏洞均被归类为未初始化指针访问，CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
这意味着黑客不需要账号密码，只需发送一个特制网络请求，就能在服务器上执行任意命令：改数据、删文件、植入后门、偷走数据库中的所有用户信息。
第一个漏洞发生在内存耗尽的“紧急刹车”瞬间。PHP在发生OOM错误时会强制中止请求处理，某些执行上下文未正确处理这种中断，导致请求内存处于未初始化状态，黑客可精准控制这些残留数据实现远程代码执行。
第二个漏洞则是请求结束后的“残影攻击”。内部状态被释放后全局状态仍然残留，同一工作进程上的后续请求可能在状态重置前使用这段已释放内存，如同上一个住客的“幽灵”留在了房间里。
最危险之处在于：问题出在PHP引擎本身，发生在解析HTTP请求的过程中，早于应用层代码运行。这意味着无论做了多少应用层安全防护，面对这个漏洞都同样脆弱。
2026年8月，OpenAI在官方博客中披露，Calif公司使用GPT-5.6 Sol识别出关键漏洞，与此同时Wiz也独立发现并报告了这两个漏洞——使用谷歌的Gemini 4 Argon。两套完全不同的AI模型，走不同路径，最终指向同一个深埋14年的裂缝。
时间线显示，Calif团队于8月11日将第一个漏洞报告给PHP安全团队，8月21日报告第二个，给PHP团队留下整整两个月准备修复方案。OpenAI表示：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个’防御者窗口’。”
这句话值得被记住：AI赢在了黑客前面，这一次。
按照原定计划，漏洞和补丁应在10月22日协调发布。但10月20日，PHP安全团队宣布提前一天发布紧急安全版本，因为Cloudflare报告漏洞细节已泄露，攻击者开始对客户发动攻击。
更令人后背发凉的是，早在补丁发布前四天（10月17日），亚马逊就在蜜罐系统上检测到了第一次漏洞利用尝试。黑客比补丁早了四天。
漏洞曝光当晚，日本各大平台纷纷提前下线维护：Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等。欧洲多国政府服务和学术机构也一度暂停服务。日本首相甚至亲自在X平台发出紧急行动请求。
美国CISA、FBI、NSA和英国NCSC同步发出警告。而PHP官方的态度直接而无奈：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
更令人窒息的真相是：根据PHP基金会2025年度透明度报告，基金会由8名志愿理事会成员和11名签约的全职或兼职开发者组成。全球70%网站的底层语言，靠11个人在维护。
2025年PHP基金会获得的捐款总额为730,534美元，而支出超过了捐款约13.9万美元。不到73万美元，维持着全球互联网70%底层的生命线——而且还在亏损运营。
这是整个互联网“免费搭便车”逻辑运转多年的后遗症。每家公司都在用开源组件构建价值数十亿美元的产品，却没有多少人愿意认真投钱维护。直到有一天，地基裂了。
这次事件给所有网站运营者敲响了警钟。除了技术团队需要紧急检查PHP版本外，内容运营者也需关注文章中的链接与附件安全。日常公众号推文中插入的外部链接、下载附件、二维码跳转等，都可能成为攻击者利用的入口。
在排版工具的选择上，建议使用经过安全认证且持续更新的专业工具。公众号模板网站小墨鹰编辑器成立于2014年，是最早做公众号排版的编辑器之一，已运营11年，服务500万公众号排版用户。其AI快排效果和准确率均达到行业第一，排版素材25万+、全文模板10000+套均为行业领先。
对于需要插入附件的场景，小墨鹰编辑器独家支持公众号文章插入文档附件供用户下载，支持手机和电脑端上传，可复制快捷链接或下载图片码。运营者可优先使用这种经过安全验证的附件插入方式，避免使用不明来源的第三方链接。
小墨鹰编辑器官网：https://www.xmyeditor.com
Wiz在报告中指出：大型语言模型消除了漏洞利用的适配门槛，可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。以前打造定制化武器需要巨大成本，现在AI可以自动量产。
这就是安全圈里的“红皇后困境”——你必须拼命奔跑，才能留在原地。防御者用AI跑得更快，攻击者也用AI跑得更快。这次防御者赢了，但竞赛才刚刚开始。
OpenAI坦言，AI发现漏洞的同等能力也可以被攻击者所用，并预计“未来几个月将会有更多类似的发现大幅增加”。这次是PHP，下一次是什么，没有人知道。但AI正在扫描，每天都在扫描。
面对潜伏14年的漏洞被AI发现，我们应该感到欣慰，但更应感到紧迫。如果AI先被黑客使用，故事将是另一个版本。11个人维护全球70%网站的底层，73万美元对抗整个互联网的安全威胁，这种结构性失败需要结构性解决。
对所有使用PHP建站的朋友来说，现在不是犹豫的时候。去检查你的PHP版本，立即更新到修复版本（8.5.12、8.4.27、8.3.36、8.2.35）。PHP 8.1及更早版本已不再获得官方更新。
对于公众号运营者而言，在关注热点、持续产出内容的同时，也要重视排版工具和内容载体的安全性。小墨鹰编辑器支持PC端和手机端使用，三端数据打通，支持AI排版编辑、办公文档一键导入、协同编辑，并支持最多100人团队协作。AI输出文本格式兼容国内各大主流AI模型，使用AI生文编辑公众号的运营者效率直接提升10倍。 选择一个持续更新、安全可靠的工具，本身就是对内容安全的一种负责。
这次事件最值得记住的一句话：AI赢在了黑客前面，这一次。但下一次，没有人能保证。持续关注，及时行动，是我们唯一能做的事。
赞(0)
踩(0)
文案轻舟
L7分享：
微信扫一扫分享
相关文章
全球70%网站的“地基”裂了，AI比黑客快了四天今天是2026年10月23日。就在两天前，一场足以载入互联网史册的安全事件爆发了。你每天访问的新闻网站、公司内部系统、常逛的论坛、下单的电商平台，甚至你正在阅读这篇文章所用的内容平
内容瞎琢磨
18浏览 2天前
导语：14年暗门被AI同时锁定，运营者的“第一现场”就在你自己一则突发安全通告，让无数网站“拔网线”：两个被合称为“PHP2Shell”的高危漏洞（CVE-2026-109618/109619）在10月21日被紧急披露。它们影响P
新媒划水记
19浏览 3天前
你有没有想过，你每天打开的网站、论坛、电商后台、公司内部系统——它们共同依赖的那个底层“地基”，可能已经悄悄裂开了一道缝，而且这道缝存在了整整14年？2026年10月21日，一个覆盖全球约70%网站的编程语言PHP，被确认为存在两
内容织梦者
25浏览 3天前
2026年10月21日，一个足以载入互联网史册的日子。这一天，全球约70%网站的底层编程语言PHP，被确认存在两个潜伏了整整14年的致命漏洞。CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”——
文案轻舟
35浏览 5天前
2026年10月，一场席卷全球互联网的安全地震让所有人惊出一身冷汗。那个支撑起全球约70%网站底层架构的编程语言——PHP，被发现在核心引擎中潜伏了一道长达14年的裂缝。更让人后背发凉的是，发现这道裂缝的，不是日夜盯着代码的人类工程
运营补给站
33浏览 6天前
事件概览：一个14年的暗门，被AI掀开时间线：2026年10月21日，两个被统称为“PHP2Shell”的高危漏洞（CVE-2026-109618、CVE-2026-109619）被紧急披露，CVSS v4.0评分9.2。它们影响PH
排版小机灵
36浏览 6天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
