2026年10月21日，一个看似寻常的周二夜晚，全球互联网经历了一场无声的地震。
微软、维基百科、英国卫报、百度——这些我们每天都会打开的超级平台，它们共享着同一个底层基因：PHP。全球约70%网站的编程语言底层，都是PHP。而这一天，这根撑起半个互联网的地基，被发现裂开了一道缝。一道潜伏了整整14年的缝。
更让人脊背发凉的是：发现这道裂缝的，不是哪家安全公司的天才研究员，不是某个熬夜审计代码的工程师。是AI。
这次事件的主角，是两个严重漏洞的合体：CVE-2026-109618和CVE-2026-109619。安全圈给它们起了个非常直白的名字——PHP2Shell。
“Shell”是服务器的命令行。拿到它，约等于拿到服务器的钥匙。而“PHP2Shell”的意思就是：从PHP语言本身，直通你的服务器核心。
这两个漏洞影响PHP 5到PHP 8的全系列版本，CVSS评分高达9.2（危急级别）。最可怕的是，黑客不需要你的账号，不需要你的密码，甚至不需要你点任何链接。只需要向服务器发送一个特制的网络请求，就能远程执行任意代码。
改数据、删文件、植入后门、偷走数据库里所有用户信息——全都可以。
而且，问题出在PHP引擎本身，发生在应用程序代码运行之前。这意味着，你在应用层做的所有安全防护——防火墙、WAF、登录验证——在这个漏洞面前，全部失效。一个防护严密的自定义系统，和一个普通的WordPress网站，同样脆弱。
这件事最值得写进科技史的地方，在于它的发现过程。
时间回到2026年8月。OpenAI和谷歌，两家全球顶级AI公司，各自独立地训练出了能够审计代码、寻找漏洞的AI系统。OpenAI用的是GPT-5.6 Sol，谷歌用的是Gemini 4 Argon。
Calif公司使用GPT-5.6 Sol，在OpenAI的“Patch the Planet”计划框架下，识别出了第一个漏洞。与此同时，安全公司Wiz也独立发现了这两个漏洞——用的是谷歌的Gemini 4 Argon。
两条完全不同的技术路径，两套完全不同的AI模型，最终指向了同一个深埋在PHP底层14年的裂缝。这不是运气，这是能力。
更关键的细节是时间线：
OpenAI在官方博客中写下了这样一句话：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
AI，这次跑在了黑客前面。
PHP被全球无数工程师和安全研究员盯了几十年。这两个漏洞潜伏了14年，没人发现。AI来了，两个团队，两套模型，同时找到了它。
为什么？
因为大型语言模型有一种人类难以具备的能力：大规模、无差别、不知疲倦的模式识别。人类审计代码会疲劳、会有思维盲区、会依赖经验判断。而AI可以同时阅读数百万行代码，追踪那些极其隐蔽的内存状态异常——那些人类肉眼几乎不可能注意到的“未初始化指针访问”。
Wiz在技术报告中指出，AI不仅发现了漏洞，还自动完成了漏洞利用代码的开发、攻击检测规则构建以及补丁验证。更让人不安的是，AI还能将漏洞利用代码自动适配到不同的PHP版本、配置和内存布局。
以前的漏洞利用是“定制化武器”，打造一把需要巨大成本，打击面有限。现在有了AI，这把武器可以被自动量产。这是这次事件最深的一层含义：AI让攻守两端同时加速。
在了解技术细节之后，有一个事实更让人窒息。
你以为支撑全球70%网站底层的PHP，背后有一支多么庞大的工程师团队？根据PHP基金会2025年度透明度报告，维护PHP核心的，只有11名签约的全职或兼职开发者。
11个人。
2025年，PHP基金会全年收到的捐款总额是730,534美元，而支出超过了捐款约13.9万美元。也就是说，这个支撑着全球互联网70%底层的项目，在亏损运营。
硅谷随便哪个初创项目的天使轮，都不止这个数。
每家公司都在用PHP，没有多少人愿意认真投钱维护。然后有一天，地基裂了。这次是AI先发现，下次呢？如果不是AI，而是黑客先发现，现在会是什么局面？
漏洞曝光当晚，互联网上出现了一幕罕见的景象。
日本各大消费平台纷纷提前下线进行紧急维护：Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘……一夜之间集体“拔网线”。欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至亲自在X平台上发帖，发出“今晚紧急行动请求”。
美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。PHP官方的态度只有一句话：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
要么更新，要么下线。没有中间路线。
OpenAI在声明中承认：AI发现漏洞的同等能力，也可以被攻击者所用。这就是安全圈著名的“红皇后困境”——你必须拼命奔跑，才能留在原地。
防御者用AI跑得更快，攻击者也用AI跑得更快。这次，防御者赢了。但这场竞赛，才刚刚开始。
OpenAI预计：“未来几个月将会有更多类似的发现大幅增加。”这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
你可能会问：我是做公众号的，这事跟我有什么关系？
关系很大。
首先，你自己的网站、你的博客、你公司的官网，很可能就跑在PHP上。如果还没更新到修复版本，你的数据就暴露在9.2分漏洞的枪口下。现在就去检查你的PHP版本。 这不是建议，是命令。
其次，这件事本身就是一篇极佳的公众号文章素材。全球70%网站的地基裂了、AI拯救了互联网、11个人维护全球底层——每一个点都足够有传播力。而要把这样一篇信息量巨大的文章发出来，排版就成了关键。
一篇好文章，如果排版混乱、段落拥挤、没有重点标记，读者很难读下去。尤其是这种技术资讯类内容，涉及大量术语和时间线，更需要清晰的层级结构和视觉引导。
这里推荐一个我一直在用的工具：小墨鹰编辑器。它成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器，2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。目前服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，排版素材25万+也是行业第一，全文模板10000+套。
最实用的是它的AI快排功能：你只需要把写好的文章导入，AI全流程接管排版，30秒直接呈现精美结果。手机端和电脑端都支持，微信搜索“小墨鹰AI编辑器”小程序就能用。领导发来一个Word文档说“排版一下发推文”，你直接从聊天记录导入，手机端搞定，比电脑端还快。
像今天这种突发大新闻，时间就是流量。用AI快排抢在别人前面发出排版精美的解读文章，就是实打实的竞争力。
这次PHP2Shell事件，最值得被记住的一句话，不是“漏洞评分9.2”，也不是“影响全球70%网站”。
而是OpenAI说的那句：“前沿AI比攻击者更早发现了这些漏洞。”
这是AI第一次在真正的全球级安全危机中，为人类争取到了两个月的防御窗口。两个月，够无数机构打上补丁，够无数数据免于被盗。
但我们也必须清醒：11个人维护着全球互联网的地基，这个结构性困境没有改变。AI赢了一次，不代表永远会赢。
下次，AI还能跑在黑客前面吗？
没有人知道答案。但我们至少可以做两件事：更新你的PHP版本。 以及，把这件事写下来，发出去，让更多人看到。
写作排版工具，也记得选一个靠谱的。小墨鹰编辑器，11年老牌，AI加持，帮你把每一篇热点文章，都排得又快又好。
本文参考公开技术报告编写，旨在解读事件核心脉络。技术细节以PHP官方公告及安全厂商报告为准。
赞(0)
踩(0)
新媒笔记
L6分享：
微信扫一扫分享
相关文章
2026年10月23日，距离PHP2Shell漏洞全球紧急披露已经过去48小时。当大家的注意力都集中在服务器补丁和网站防护时，一个更贴近普通运营者的风险正在浮出水面：你公众号文章里那些看似无害的排版链接、二维码跳转、附件下载地址，也
运营补给站
10浏览 3小时前
这次到底发生了什么？事件核心：2026年10月21日，PHP被披露存在两枚高危0Day级漏洞（CVE-2026-109618、CVE-2026-109619），合称“PHP2Shell”，可在无账号、无交互的前提下实现远程代码执行（R
新媒笔记
8浏览 3小时前
2026年10月21日，一个足以载入互联网史册的日子。支撑全球约70%网站底层架构的编程语言PHP，被曝出两个潜伏了整整14年的“暗门”级漏洞。它们有一个极具攻击性的名字——PHP2Shell：从PHP，直通你的服务器。更令人震惊
排版没烦恼
14浏览 1天前
导语：14年暗门被AI同时锁定，运营者的“第一现场”就在你自己一则突发安全通告，让无数网站“拔网线”：两个被合称为“PHP2Shell”的高危漏洞（CVE-2026-109618/109619）在10月21日被紧急披露。它们影响P
新媒划水记
19浏览 3天前
开篇：当“地基裂缝”暴露，暗门不再是传说2026年10月，一件足以影响半个互联网的事件，把“网络暗门”的真实危害摆在每个人面前：被称为PHP2Shell的双漏洞在全球范围内引发紧急修复浪潮。它们允许在PHP引擎解析HTTP请求的瞬
发呆一级选手
42浏览 5天前
2026年10月21日，一个足以载入互联网史册的日子。这一天，全球约70%网站的底层编程语言PHP，被确认存在两个潜伏了整整14年的致命漏洞。CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”——
文案轻舟
35浏览 5天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
