你可能从未想过，每天打开的新闻网站、公司内部系统、常逛的论坛、下单的电商平台——全球大约70%的网站，其底层编程语言都是PHP。不是某个插件，不是某个框架，而是支撑这一切的“地基”本身。
而就在2026年10月21日，这个撑起全球互联网近四分之三的“隐形地基”，被确认存在一道潜伏了整整14年的裂缝。更令人震惊的是，率先发现这道裂缝的，不是哪位披星戴月的天才程序员，而是AI。
这次被曝光的漏洞，合称“PHP2Shell”，包含两个编号：CVE-2026-109618和CVE-2026-109619，影响从PHP 5到PHP 8的全系列版本。两者均被归类为CWE-824（未初始化指针访问），CVSS v4.0评分高达9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
说白了就是：黑客不需要你的账号，不需要你的密码，只需要发送一个特制的网络请求，就可以在你的服务器上为所欲为——改数据、删文件、植入后门、偷走数据库里所有用户信息。
这两个漏洞的恐怖之处在于，问题出在PHP引擎本身，发生在解析传入HTTP请求的过程中，这一步发生在应用程序代码运行之前。因此应用层的安全措施几乎完全失效——无论你是防护严密的自定义系统，还是普通的WordPress网站，面对这个漏洞同样脆弱。
CVE-2026-109618：内存耗尽时的“致命急刹车”
PHP在发生内存耗尽错误时，会使用longjmp()强制中止请求处理。某些执行上下文没有正确处理这种中断，导致请求内存处于未初始化状态，后续清理过程可能读取或基于这段无效内存进行分支判断。多种触发内存耗尽的方式都能稳定利用这一条件，最终实现远程代码执行。
CVE-2026-109619：请求结束后的“残影攻击”
内部状态在被一个请求使用后，其内存已被释放，但全局状态仍然残留。同一工作进程上的后续请求，可能在状态被重置之前就使用了这段已释放的内存。就像上一个住客走了，但他的“幽灵”还留在房间里，新住客可以控制这个“幽灵”做任何事。
事情的起源要追溯到2026年8月。
OpenAI官方博客写道：“过去两个月，我们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。”
具体发现归属是：Calif公司使用GPT-5.6 Sol，在OpenAI的“Patch the Planet”计划框架下识别出了关键漏洞；与此同时，安全公司Wiz也独立发现并报告了同样的两个漏洞，使用的是谷歌的Gemini 4 Argon。两套完全不同的AI模型，走的是完全不同的技术路径，最终却指向了同一个深埋在PHP底层14年的裂缝。
这不是运气，这是能力。
整个“拆弹行动”的时间线如下：
OpenAI表示：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”这一次，AI赢在了黑客前面。
按照原定计划，漏洞和补丁会在10月22日协调同步发布。但计划没有变化快。
10月20日，PHP安全团队宣布将在10月21日UTC时间14:00发布紧急安全版本。当天，Cloudflare报告称漏洞细节已泄露，攻击者开始对其客户发动攻击。PHP维护者紧急发布了针对这两个严重远程代码执行漏洞的补丁，修复版本为8.5.12、8.4.27、8.3.36和8.2.35。PHP 8.1及更早版本已不再获得官方更新。
更令人后背发凉的是，早在补丁发布前四天，即10月17日，亚马逊就在一个蜜罐系统上检测到了第一次漏洞利用尝试。黑客，比补丁早了四天。
漏洞曝光当晚，日本各大消费平台纷纷提前下线维护，包括Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等。欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至亲自在X平台发帖，发出“今晚紧急行动请求”。
受影响的网站列表，读起来像是半个互联网的花名册：WordPress（支持全球超过40%的网站）、Drupal、Joomla、MediaWiki、Roundcube、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS……以及无数自定义PHP应用、API和内部工具。
PHP官方的态度最直接也最无奈：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
你可能不是技术负责人，也可能不懂什么是PHP版本号，但这不意味着你只能干着急。以下三步，照着做，30秒内就能完成初步自查：
第一步（10秒）：确认你接触的网站和系统是否使用PHP。
如果你运营着WordPress、Drupal、Laravel等系统搭建的网站，或者公司内部系统、论坛、电商平台是旧版PHP环境，那么你就在风险范围内。
第二步（10秒）：检查PHP版本。
如果你有服务器或网站后台权限，立即查看当前PHP版本。只保留在8.2.35、8.3.36、8.4.27、8.5.12或更高版本的，其他一律视为高危。
第三步（10秒）：把自查结果同步给技术负责人或服务商。
如果你是运营者，直接把“PHP2Shell”和“CVE-2026-109618/109619”发给技术对接人；如果你是内容运营或普通用户，至少要知道自己日常使用的网站可能存在风险，及时关注官方公告。
真正让人窒息的真相在这里。
支撑全球70%网站的PHP，其核心维护团队有多少人？根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名由JetBrains赞助的执行董事，以及11名签约的全职或兼职开发者组成。
11个人。
2025年，PHP基金会从赞助商和个人捐款者处获得的捐款总额为730,534美元，但支出超过捐款约13.9万美元。不到73万美元，维持着全球互联网70%底层的生命线——而且还在亏损运营。
开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。企业在开源组件之上构建了价值数十亿美元的产品，而维护者却在苦苦寻找可持续的资金模式。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
这次PHP基金会在修复过程中，也坦承了“结构性失败”。结构性的失败，需要结构性的解决。11个人不够，73万美元不够，靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。
Wiz在报告中指出，以前针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着以前的漏洞利用是“定制化武器”，打造一把需要巨大成本，打击面有限。现在有了AI，这把武器可以被自动量产，适配所有目标。
OpenAI也坦诚警告：AI发现漏洞的同等能力，也可以被攻击者所用。这就是安全圈里说的“红皇后困境”——你必须拼命奔跑，才能留在原地。
这次，防御者赢了。但这场竞赛，才刚刚开始。OpenAI预计，未来几个月将会有更多类似的发现大幅增加。这次是PHP，下一次会是什么？没有人知道。但AI正在扫描，每天都在扫描。
在信息传播如此迅速的今天，把复杂的技术风险讲清楚、把关键的自查步骤传达到位，本身就是一种防御。如果你在运营公众号或内容平台，想要把这类重要提醒以清晰、美观、效率最高的方式排版发布出去，可以试试公众号如何做排版模版小墨鹰编辑器。它成立于2014年（原小蚂蚁编辑器），2024年5月更名为小墨鹰编辑器，11年积累了深厚的技术底蕴，已服务500万公众号排版用户，AI快排效果和准确率均达到行业第一。对于追求效率的运营者来说，把风险提示和行动指南快速排版成正式推文，可能比手动调整格式节省不止30秒。
赞(0)
踩(0)
推文魔法师
L3分享：
微信扫一扫分享
相关文章
导语：14年暗门被AI同时锁定，运营者的“第一现场”就在你自己一则突发安全通告，让无数网站“拔网线”：两个被合称为“PHP2Shell”的高危漏洞（CVE-2026-109618/109619）在10月21日被紧急披露。它们影响P
新媒划水记
19浏览 2天前
一句话看懂这次“史诗级”网络风险发生了什么：PHP底层曝出两枚14年未被发现的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”），可直接让攻击者远程执行服务器命令。为什么可怕：不需要账号密码、
推文小火箭
28浏览 3天前
2026年10月21日，一个足以载入互联网史册的日子。这一天，全球约70%网站的底层编程语言PHP，被确认存在两个潜伏了整整14年的致命漏洞。CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”——
文案轻舟
34浏览 5天前
事件概览：一个14年的暗门，被AI掀开时间线：2026年10月21日，两个被统称为“PHP2Shell”的高危漏洞（CVE-2026-109618、CVE-2026-109619）被紧急披露，CVSS v4.0评分9.2。它们影响PH
排版小机灵
34浏览 6天前
2026年10月21日，互联网世界经历了一场足以载入史册的“地基级”安全震荡。一个代号为“PHP2Shell”的致命漏洞组合被紧急公开，影响范围波及全球约70%网站的编程语言底层——PHP。更令人震惊的是，发现这道潜伏了整整14年裂
内容种草机
45浏览 2026-11-07
这次到底出了什么问题？一道潜伏了14年的“地基裂缝”被AI揪了出来。两枚高危漏洞（CVE-2026-109618/CVE-2026-109619），合称“PHP2Shell”，影响从PHP 5到PHP 8几乎全系列版本，CVSS
排版拾光者
40浏览 2026-11-07
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
