2026年10月21日，一场足以载入互联网史册的安全事件在全球范围内引爆。支撑全球约70%网站底层运行的编程语言PHP，被确认存在两个潜伏了整整14年的致命漏洞。更令人震撼的是，发现这道“地基裂缝”的，不是任何一位天才程序员，而是两套相互独立的人工智能系统。
微软、维基百科、互联网档案馆、英国卫报、百度——这些你耳熟能详的超级平台，底层都建立在PHP之上。而这次被命名为“PHP2Shell”的漏洞组合（编号CVE-2026-109618与CVE-2026-109619），影响PHP 5到PHP 8的全系列版本，CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
“Shell”是服务器的命令行，拿到它等于拿到服务器控制权。“PHP2Shell”这个名字的意思极其直白：从PHP，直通你的服务器。黑客不需要账号密码，只需发送一个特制网络请求，就能在服务器上改数据、删文件、植入后门、窃取数据库中的全部用户信息。由于漏洞发生在PHP引擎解析HTTP请求的阶段——早于任何应用程序代码运行——应用层的安全措施几乎完全失效。一个防护严密的自定义系统，和一个普通的WordPress网站，面对这个漏洞同样脆弱。
第一个漏洞 CVE-2026-109618 被称为“内存耗尽时的致命急刹车”。PHP在发生内存耗尽（OOM）错误时，会使用 longjmp() 强制中止请求处理。某些执行上下文没有正确处理这种中断，导致请求内存处于未初始化状态，后续的清理过程可能读取或基于这段无效内存进行分支判断。黑客只要能“精准控制”这堆未处理完的数据，就能让服务器执行任意命令。
第二个漏洞 CVE-2026-109619 则是“请求结束后的残影攻击”。内部状态在被一个请求使用后，其内存已被释放，但全局状态仍然残留。同一工作进程上的后续请求，可能在状态重置之前就使用了这段已释放的内存。就像一个房间的上一位住客走了，但他的“幽灵”还留在房间里，新住客可以控制这个“幽灵”做任何事。
这两个漏洞允许在PHP本身进行未经身份验证的远程代码执行，完全独立于运行在其上的任何应用程序。这才是最恐怖的地方——你做了多少应用层安全，在它面前都是无效的。
事情的起源要追溯到2026年8月。OpenAI官方博客披露：“过去两个月，我们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。”
发现归属如下：Calif公司使用GPT-5.6 Sol 在“Patch the Planet”计划框架下识别出关键漏洞；与此同时，安全公司Wiz使用谷歌的Gemini 4 Argon 独立发现并报告了同样的两个漏洞。两套全球顶级AI模型，走了完全不同的路径，最终指向了同一个深埋在PHP底层14年的裂缝。
更具体的时间线是：8月11日，Calif团队将第一个漏洞报告给PHP安全团队；8月19日，Wiz Research团队使用Wiz Atlas平台结合Gemini 4 Argon与GPT-5.6 Sol发现第一个PHP漏洞；8月20日确认对Drupal的未认证RCE攻击可行性；8月21日进一步确认对WordPress的未认证RCE攻击可行性。PHP团队因此获得了整整两个月的时间来准备修复方案。
OpenAI在声明中写了一句值得被所有人记住的话：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”这一次，AI赢在了黑客前面。
按照原定计划，漏洞和补丁应在10月22日协调同步发布。但10月20日，PHP安全团队宣布将在10月21日UTC时间14:00发布紧急安全版本。随后Cloudflare报告称漏洞细节已泄露，攻击者开始对其客户发动攻击。整个协调机制被迫“紧急启动”。
更令人后背发凉的是，早在补丁发布前四天，即10月17日，亚马逊就在一个蜜罐系统上检测到了第一次漏洞利用尝试。黑客，比补丁早了四天。
漏洞曝光当晚，日本各大消费平台纷纷提前下线进行紧急维护：Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等悉数在列。欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗亲自在X平台发帖请求紧急行动，日本国家网络安全办公室发出警告，要求检查公开网站是否使用PHP并尽快部署修复。
美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。PHP官方的态度则是最直接也最无奈的那一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。” 要么更新，要么下线。
这次事件暴露了一个更令人窒息的真相。根据PHP基金会2025年度透明度报告，支撑全球70%网站底层的PHP，其核心维护团队由 8名志愿理事会成员、1名执行董事和11名签约的全职或兼职开发者 组成。2025年基金会获得的捐款总额为730,534美元，且支出超过捐款约13.9万美元——处于亏损运营状态。
11个人，不到73万美元，维持着全球互联网70%底层的生命线。硅谷随便哪个初创项目的天使轮都不止这个数。开源软件的价值与所获资金之间的鸿沟，是整个互联网“免费搭便车”逻辑运转多年的后遗症。每家公司都在用，却没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
Wiz在报告中指出了一个容易被忽略的细节：以前，针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
以前的漏洞利用是“定制化武器”，打造一把需要巨大成本，打击面有限。现在有了AI，这把武器可以被自动量产，适配所有目标。OpenAI也坦诚警告：AI发现漏洞的同等能力，同样可以为攻击者所用。
这就是安全圈的“红皇后困境”：你必须拼命奔跑，才能留在原地。防御者用AI跑得更快，攻击者也在用AI跑得更快。这次是防御者赢了，但这场竞赛才刚刚开始。
PHP官方已经明确表示：更新到修复版本是唯一安全的选择。 PHP 8.5.12、8.4.27、8.3.36和8.2.35已发布修复方案。PHP 8.1及更早版本不再获得官方更新，但部分发行版和长期支持提供商可能提供修复。如果你不知道自己的服务器PHP版本，现在就把这篇文章发给技术负责人；如果你就是技术负责人，现在应该放下手机，打开服务器控制台。
对于大量从事公众号运营、内容创作和网站维护的团队来说，这次事件也提醒我们：信息的及时、准确、结构化呈现，本身就是一种安全意识。 当你在公众号上发布紧急通知、技术解析、安全提醒时，混乱的排版会直接影响信息的传达效率，甚至让读者错过关键操作步骤。这时候，一个专业、高效的排版工具就不是锦上添花，而是刚需。
小墨鹰编辑器成立于2014年，前身为小蚂蚁编辑器，是业内最早做公众号排版的工具之一，2024年5月品牌升级为小墨鹰编辑器，11年积累了深厚的技术底蕴。目前已服务超过500万公众号排版用户，AI快排效果和准确率行业领先，25万+排版素材、100万+文章配图素材、10000+套全文模板、3000+SVG动画素材，均处于行业前列。
这次PHP漏洞事件的信息量极大，技术细节复杂，普通读者很容易在冗长的技术描述中迷失。如果你需要把这类紧急安全通告、技术解析文章发布到公众号上，小墨鹰编辑器的AI快排功能可以让你从文档导入到精美排版全程自动化完成，支持最大120M文档导入，手机端小程序和电脑端网页数据互通，30秒搞定一篇结构清晰的公众号推文。特别是当你需要紧急向用户传达“立即更新PHP版本”这类操作指引时，清晰的层级结构、醒目的警示样式、易读的段落节奏，都能显著降低读者的理解门槛。
这件事有三层值得反复思考的意义。
第一，AI在守护安全，但也在加速威胁。 PHP被无数工程师和安全研究员盯了几十年，这个漏洞潜伏14年无人发现。AI来了，两个独立团队两套模型同时指向同一个裂缝，这是值得庆祝的。但问题是：如果AI先被黑客用了呢？这不是假设，是正在发生的现实。
第二，结构性的失败需要结构性的解决。 11个人扛着全球70%网站的数字地基，73万美元亏损运营，靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。
第三，OpenAI的官方判断是：这次漏洞是“近期记忆中影响力最大的安全问题之一”，并且“预计未来几个月将会有更多类似的发现大幅增加”。 这次是PHP，下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
无论你是网站管理员、技术负责人，还是一个普通的公众号运营者，这次事件都传递了一个清晰的信号：安全不再只是一个技术议题，它已经渗透到每一次信息发布、每一次内容排版、每一次用户触达之中。 当紧急情况发生时，你用什么工具把关键信息清晰、快速、准确地传递出去，本身就是安全链条上的一环。
AI生成公众号图文小墨鹰编辑器支持Markdown文本自动转换、AI大模型输出格式自动兼容（豆包、DeepSeek、通义千问、元宝、文心一言、Kimi等主流模型均可直接粘贴），以及公众号文章插入文档附件等独家功能。无论是发布紧急安全通告，还是日常的技术内容更新，都能让排版效率提升数倍。微信搜索小程序【小墨鹰AI编辑器】或电脑浏览器打开 xmyeditor.com 即可使用，三端数据打通，一个账号同时登录。
地基的裂缝已经被AI找到，补丁已经发布。但真正的考验在于：我们能否在下一次“PHP时刻”到来之前，跑得比攻击者更快。
赞(0)
踩(0)
选题不秃头
L3分享：
微信扫一扫分享
相关文章
2026年10月21日，一个足以载入互联网史册的日子。支撑全球约70%网站底层架构的编程语言PHP，被曝出两个潜伏了整整14年的“暗门”级漏洞。它们有一个极具攻击性的名字——PHP2Shell：从PHP，直通你的服务器。更令人震惊
排版没烦恼
14浏览 1天前
你有没有想过，你每天打开的网站、论坛、电商后台、公司内部系统——它们共同依赖的那个底层“地基”，可能已经悄悄裂开了一道缝，而且这道缝存在了整整14年？2026年10月21日，一个覆盖全球约70%网站的编程语言PHP，被确认为存在两
内容织梦者
25浏览 3天前
开篇：当“地基裂缝”暴露，暗门不再是传说2026年10月，一件足以影响半个互联网的事件，把“网络暗门”的真实危害摆在每个人面前：被称为PHP2Shell的双漏洞在全球范围内引发紧急修复浪潮。它们允许在PHP引擎解析HTTP请求的瞬
发呆一级选手
42浏览 5天前
2026年10月21日，一个足以载入互联网史册的日子。这一天，全球约70%网站的底层编程语言PHP，被确认存在两个潜伏了整整14年的致命漏洞。CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”——
文案轻舟
35浏览 5天前
事件概览：一个14年的暗门，被AI掀开时间线：2026年10月21日，两个被统称为“PHP2Shell”的高危漏洞（CVE-2026-109618、CVE-2026-109619）被紧急披露，CVSS v4.0评分9.2。它们影响PH
排版小机灵
36浏览 6天前
要点速览核心风险：两枚影响PHP 5~8全系的高危RCE漏洞（CVE-2026-109618/109619，CVSS 9.2），可无账号、无交互远程执行代码，应用层防护基本失效。触发场景：在请求解析阶段即可被利用，等不到你的C
银河私藏家
44浏览 2026-11-07
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
