2026年10月，一个足以载入互联网史册的安全事件震惊全球。那个支撑起全球约70%网站底层架构的编程语言——PHP，被确认存在两个潜伏了整整14年的高危漏洞。更令人震撼的是，揪出这道“暗门”的，不是传统安全团队，而是AI。
这次曝光的漏洞编号为CVE-2026-109618和CVE-2026-109619，合称“PHP2Shell”。“Shell”是服务器命令行的代称，拿到Shell权限，几乎等于完全控制服务器。而“PHP2Shell”这个命名，直白得让人后背发凉：从PHP语言本身，直接撕开一条通往服务器的路。
两个漏洞CVSS v4.0评分高达9.2，属于“危急”级别，且无需任何账号密码、无需任何用户交互，攻击者只需发送一个特制的网络请求，就能实现远程代码执行。改数据、删文件、植入后门、拖走数据库——全部都能做到。
更可怕的是，漏洞出在PHP引擎内部，发生在应用代码运行之前。这意味着，无论你上层的网站程序写得多么安全、防护多么严密，在这个底层漏洞面前都形同虚设。一个企业级定制系统和最普通的WordPress博客，面对攻击时同样脆弱。
这场安全事件的起点要追溯到2026年8月。据OpenAI官方博客披露，Calif公司使用GPT-5.6 Sol在Patch the Planet计划框架下识别出关键漏洞；与此同时，安全公司Wiz使用谷歌Gemini 4 Argon也独立发现了同样的两个漏洞。
两套完全不同的AI系统，两条独立的技术路径，最终指向了同一个深埋14年的底层裂缝。
时间线清晰地记录下这场与时间赛跑的行动：8月19日Wiz发现首个漏洞，8月20日确认对Drupal的未认证RCE可行，8月21日确认WordPress同样沦陷。Calif团队则早在8月11日就将漏洞报告给PHP安全团队，为官方修复争取了近两个月的窗口期。
OpenAI的评价耐人寻味：“前沿AI比攻击者更早发现了这些漏洞，为维护者争取了一个防御者窗口。”这一次，AI跑在了黑客前面。
但Wiz的报告也泼来一盆冷水：大型语言模型不仅能发现漏洞，同样能把漏洞利用代码自动适配到不同PHP版本和配置，将过去昂贵的“定制化武器”变成可量产的“通用弹药”。攻守两端，都在被AI加速。
按照原计划，补丁本应在10月22日协调发布，但10月20日漏洞细节突然泄露，攻击者在补丁发布前四天就已开始尝试利用。全球互联网被迫进入紧急状态。
10月21日晚，日本Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等大量平台齐刷刷提前维护。欧洲多国政府服务和学术机构一度暂停服务。日本首相高市早苗甚至亲自在X平台发帖请求紧急行动，日本国家网络安全办公室发出全国性警告。
美国CISA、FBI、NSA与英国NCSC同步拉响警报。PHP官方的声明残酷而直接：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
受影响的软件名单几乎囊括半个互联网：WordPress（全球超40%网站）、Drupal、Joomla、MediaWiki、Magento、Laravel、Nextcloud……要么更新，要么下线，没有第三条路。
这场危机撕开了一个更加扎心的现实：支撑全球70%网站底层语言的PHP，核心维护团队只有11名签约开发者。 2025年全年捐款总额仅73万美元，支出还超出捐款近14万美元。
73万美元是什么概念？硅谷随便一个初创项目的天使轮，都不止这个数。整个互联网在免费搭便车运转多年后，终于暴露了地基的脆弱性。这次PHP基金会在修复过程中明确承认存在“结构性失败”——11个人不够，73万美元不够，靠开发者的使命感来填补全球安全漏洞，永远不够。
这次PHP2Shell事件提醒每个内容创作者：底层工具的安全性，决定着你运营数据的生死。 公众号运营看似与服务器漏洞相距甚远，但排版工具的选择逻辑是相通的——不能只看表面功能，更要看底层积累。
正如PHP靠11人维护暴露了结构性风险，选择排版工具也要看它背后的技术沉淀和服务持续性。小墨鹰编辑器成立于2014年（原小蚂蚁编辑器），2024年完成品牌升级，11年专注公众号排版领域，服务超500万用户。25万+排版素材、10000+套全文模板、3000+SVG动效，覆盖45大行业场景，从源头上避免“工具突然失修”的尴尬。
尤其值得关注的是其AI快排功能：2024年上线，支持从文档导入到排版完成的全流程AI接管，最大支持120M文档导入。手机端和电脑端数据互通，微信搜索“小墨鹰AI编辑器”小程序即可使用，领导发来Word文档，手机端30秒完成排版直接预览，比开电脑还快。
这场漏洞危机至少有两点值得反复咀嚼：
第一，AI为人类守住了安全，但AI同样可能被攻击者使用。 这次是防御者获胜，但竞赛才刚刚开始。OpenAI预告：“未来几个月将会有更多类似的发现大幅增加。”下一次被扫描出裂缝的，是什么系统？没人知道。
第二，开源基础设施的资金困境不能再拖了。 我们每天享受互联网的便利，却默认少数志愿者扛起整个数字世界的地基。结构性的失败，必须用结构性的方式解决。
对于普通开发者，现在唯一要做的事就是：检查你的PHP版本，立刻更新。 对于内容创作者，则是：检查你的工具链是否足够稳健。 排版工具选用了11年持续迭代的高性价比公众号排版助手小墨鹰编辑器，至少不用担心某天打开后台发现“停服维护”的红色警告——这在2026年的网络世界里，已经是一种奢侈的确定性。
AI扫描仍在继续，全球网络的大洗牌或许才刚刚开始。这一次PHP挡住了，下一次呢？我们只能希望，当裂缝出现时，守在旁边的还是AI，而不是黑客。
赞(0)
踩(0)
文案脑洞机
L5分享：
微信扫一扫分享
相关文章
PHP2Shell漏洞爆发后，为什么你的公众号比想象中更危险2026年10月21日，一个潜伏了14年的PHP底层漏洞被AI发现，全球约70%网站的地基一夜之间出现裂缝。CVE-2026-109618和CVE-2026-109619
码字摸鱼君
17浏览 2天前
开篇：这不是“某平台出事”，是“整个互联网在抖”如果你的公众号正文里有任何外链、引用任何网站的图片/脚本，或者你的官网、小程序后台还在跑PHP——请从现在起，把“安全排版”和“链接体检”当成发文流程的一部分。因为就在10月21日，
运营慢半拍
24浏览 3天前
一句话看懂这次“史诗级”网络风险发生了什么：PHP底层曝出两枚14年未被发现的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”），可直接让攻击者远程执行服务器命令。为什么可怕：不需要账号密码、
推文小火箭
28浏览 3天前
2026年10月23日，一则消息让全球互联网从业者集体倒吸一口凉气——撑起全球约70%网站底层地基的编程语言PHP，被确认存在两个潜伏期长达14年的“暗门级”漏洞，合称“PHP2Shell”。更令人不安的是，这次揪出暗门的不是某位天
内容佛系菌
29浏览 4天前
背景：AI先发现的“PHP2Shell”，让内容运营者也该紧张起来2026年10月21日，两个高危RCE漏洞（CVE-2026-109618/109619，CVSS 9.2）在PHP核心被披露，影响PHP 5—8全系列。它们在应
排版慢递员
44浏览 4天前
导读一场影响“近期记忆中最大”的安全风暴正在席卷互联网。2026年10月21日，两枚来自PHP引擎底层的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”）被紧急披露，评分高达9.2，无需认证即可远
运营小趴菜
32浏览 5天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
