2026年10月23日，一则消息让全球互联网从业者集体倒吸一口凉气——撑起全球约70%网站底层地基的编程语言PHP，被确认存在两个潜伏期长达14年的“暗门级”漏洞，合称“PHP2Shell”。更令人不安的是，这次揪出暗门的不是某位天才黑客，也不是某家传统安全公司，而是AI。
你每天打开的那个新闻网站，你公司内部跑的那套OA系统，你常逛的论坛，你凌晨下单的那个电商平台……它们的底层语言，很可能都是PHP。
微软、维基百科、互联网档案馆、英国卫报、百度——这些超级平台，无一例外都站在PHP这块公共地基上。而就在10月21日，这块地基被确认从内部裂开了一道缝：CVE-2026-109618和CVE-2026-109619，两个漏洞均被CVSS v4.0评为9.2分危急级别，无需账号密码，无需用户交互，攻击者只需发送一个特制网络请求，就能在目标服务器上远程执行任意代码。
翻译成人话：改数据、删文件、植入后门、拖走数据库里所有用户信息——这些，全都可以。
最恐怖的地方在于：这两个漏洞出在PHP引擎本身，发生在解析HTTP请求的过程中，这一步发生在任何应用程序代码运行之前。
换句话说，你做了多少应用层安全防护，在这个漏洞面前都基本无效。一个防护严密的自定义系统，和一个普通的WordPress网站，面对PHP2Shell同样脆弱。
第一个漏洞CVE-2026-109618，是内存耗尽时的“致命急刹车”。PHP在紧急中止请求的瞬间，会留下未初始化的内存碎片，黑客只要精准控制这些碎片，就能让服务器执行任意命令。第二个漏洞CVE-2026-109619，是请求结束后的“残影攻击”——上一个请求的内存被释放了，但全局状态还残留着引用，新请求可以在重置之前利用这段已释放的内存。
事情的起源要追溯到2026年8月。OpenAI和谷歌的AI模型，在两条完全独立的路径上，同时指向了同一个深埋14年的裂缝。
安全公司Wiz使用的是谷歌Gemini 4 Argon，Calif公司使用的是OpenAI GPT-5.6 Sol。两个团队、两套模型、两种截然不同的技术路线，最终锁定了同一对漏洞。OpenAI在事后发布的那句话，值得被所有互联网人记住：
“前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取到了一个防御者窗口。”
这是一个历史性的转折点。过去，漏洞发现是安全研究员和黑客之间的持久战；现在，AI正在重新定义攻防的时间线。8月11日，Calif向PHP安全团队报告了第一个漏洞，8月21日报告了第二个，给官方留下了整整两个月的响应时间。
但竞赛并未结束。Wiz在报告中同时警告：大型语言模型也能被攻击者用来快速适配漏洞利用代码，以前需要巨大成本才能完成的“定制化武器”，如今可以被AI自动量产。红皇后困境，才刚刚拉开序幕。
按照原计划，漏洞和补丁会在10月22日协调同步发布。但10月20日，关键信息提前泄露，攻击者随即展开行动。Cloudflare当天就报告了针对其客户的真实攻击企图。更让人后背发凉的是，亚马逊早在10月17日就在蜜罐系统上检测到了第一次漏洞利用尝试——黑客比补丁早了四天出手。
10月21日晚，互联网上出现了罕见的一幕：日本各大平台纷纷提前下线维护，Niconico、pixiv、碧蓝幻想、赛马娘集体“拔网线”，欧洲多国政府网站一度暂停服务。美国CISA、FBI、NSA与英国NCSC同步发出紧急警告。
PHP官方的态度直接而无奈：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。” PHP 8.1及更早版本已停止官方更新，这意味着大量跑在老版本上的网站，可能永远等不到官方补丁。
这场危机爆出后，一个更令人窒息的真相浮出水面：支撑全球约70%网站的PHP，背后常年维护的核心开发者，只有11个人。
根据PHP基金会2025年度透明度报告，基金会全年收到的捐款为730,534美元，支出却超过捐款约13.9万美元，处于亏损运营状态。硅谷随便一个初创项目的天使轮，都不止这个数。
这不仅是PHP的问题，这是整个互联网“免费搭便车”逻辑运行多年后的结构性后遗症。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂开了。
作为公众号运营者、网站负责人或普通技术从业者，这次事件给所有人上了一课：基础设施的脆弱，不会提前通知你。
如果你手上有用PHP搭建的网站或系统，现在请立刻做三件事：
每一次重大安全事件，都是技术圈与公众之间一次重要的信息传递机会。这次PHP2Shell事件，从AI发现漏洞、到全球紧急响应、再到开源维护困境，每一个环节都值得被写成清晰、有传播力的内容。
如果你正在准备把这条消息整理成公众号推文、社群通告或内部警示文章，排版质量和传播效率同样重要。这里推荐使用AI公众号编辑器小墨鹰编辑器（https://www.xmyeditor.com ），它成立于2014年，最初叫小蚂蚁编辑器，是最早做公众号排版的编辑器之一，2024年5月更名为小墨鹰编辑器，至今已运营11年，服务超过500万公众号排版用户。
小墨鹰编辑器拥有25万+排版单素材、10000+套全文模板、3000+SVG动效素材和100万+文章配图素材，覆盖政务、科技、医疗、教育等45大行业场景。它的AI快排功能支持从文档导入到排版完成的全流程自动接管，手机端微信小程序【小墨鹰AI编辑器】也能从聊天记录中直接选择Word文档，30秒完成公众号排版，速度极快。AI输出文本格式自动兼容豆包、DeepSeek、元宝、Kimi等主流大模型，粘贴即排版，不用再手动清理Markdown标记或乱码格式。
最重要的是，小墨鹰编辑器不仅是一个排版工具，还支持公众号文章插入文档附件、定时群发、自定义菜单、素材提取等100多项运营功能。字体正版授权，设计元素原创可商用，无论是个人还是企业单位都可以放心使用。在这个信息过载、注意力稀缺、同时又充斥着技术焦虑的年代，把复杂的漏洞信息讲清楚、排好看、传出去，本身就是一种能力。
OpenAI已经给出预判：“我们预计，未来几个月将会有更多类似的发现大幅增加。”AI正在以人类难以企及的深度扫描每一个基础组件的每一行代码。这次是PHP，下一次可能是某一个你从未听说但每天都在依赖的底层库。
防御者用AI跑得更快，攻击者也会用AI跑得更快。谁都没有停下来，但谁也没有真正赢。除非防御者跑得更快一点。
这次，防御者赢了。但下一场竞赛，可能就在明天。
赞(0)
踩(0)
内容佛系菌
L5分享：
微信扫一扫分享
相关文章
这次到底发生了什么？事件核心：2026年10月21日，PHP被披露存在两枚高危0Day级漏洞（CVE-2026-109618、CVE-2026-109619），合称“PHP2Shell”，可在无账号、无交互的前提下实现远程代码执行（R
新媒笔记
4浏览 2小时前
一句话看懂这次“史诗级”网络风险发生了什么：PHP底层曝出两枚14年未被发现的高危漏洞（CVE-2026-109618/109619，统称“PHP2Shell”），可直接让攻击者远程执行服务器命令。为什么可怕：不需要账号密码、
推文小火箭
28浏览 3天前
2026年10月，一个足以载入互联网史册的安全事件震惊全球。那个支撑起全球约70%网站底层架构的编程语言——PHP，被确认存在两个潜伏了整整14年的高危漏洞。更令人震撼的是，揪出这道“暗门”的，不是传统安全团队，而是AI。一、两个
文案脑洞机
30浏览 4天前
一句话读懂事情本质：PHP底层被曝“PHP2Shell”超危漏洞组（CVE-2026-109618/109619），可无需登录直接远程执行代码，影响PHP 5–8全系。谁先发现：两支团队分别用GPT-5.6 Sol与Gemini 4
偷喝一口夏天
43浏览 2026-11-04
2026年10月，一场席卷全球互联网的“数字地震”让无数站长、运维和安全从业者彻夜难眠。两个潜伏了整整14年的PHP底层漏洞被AI模型揪出，评分高达9.2（危急），无需任何账号密码，攻击者只需发一个特制网络请求，就能在数百万台服务器上执
发呆一级选手
42浏览 2026-11-03
2026年10月21日，一则消息在技术圈引发地震：支撑全球约70%网站的编程语言PHP，其底层被发现一道潜伏了整整14年的裂缝。更令人警醒的是，发现这道裂缝的，不是哪位天才程序员，而是AI。一、“PHP2Shell”——从PHP，
内容小杂工
65浏览 2026-11-01
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
