2026年10月21日，一条消息让半个互联网的后台同时亮起了红灯。
撑起全球约70%网站底层的那门编程语言——PHP，被发现存在两个潜伏了整整14年的致命漏洞。它们被合称为“PHP2Shell”，编号CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分高达9.2（危急），无需账号密码，攻击者只需发送一个特制网络请求，就能在服务器上远程执行任意命令。
改数据、删文件、植入后门、偷走数据库里所有用户信息——全都可以。
而更让很多公众号运营者心头一紧的是：我们日常推送里嵌的那些外链、H5活动页面、表单收集、裂变落地页，背后有多少是跑在PHP上的？
答案可能比想象中更普遍。
第一个漏洞，CVE-2026-109618，叫“内存耗尽时的致命急刹车”。
PHP在发生内存耗尽（OOM）错误时，会使用longjmp()强制中止请求处理。某些执行上下文没有正确处理这种中断，导致请求内存处于未初始化状态。后续的请求清理过程可能读取或基于这段无效内存进行分支判断。说白了，PHP在“紧急刹车”的瞬间，留下了一堆“未处理完的垃圾数据”，黑客只要把这堆垃圾数据“精准控制”，就能让服务器帮他执行任意命令。
第二个漏洞，CVE-2026-109619，叫“请求结束后的残影攻击”。
内部状态在被一个请求使用后，其内存已经被释放，但全局状态仍然残留。同一个工作进程上的后续请求，可能在状态被重置之前就使用了这段已释放的内存。就像一个房间里的上一个住客走了，但他的“幽灵”还留在房间里，新住客来了之后可以控制这个“幽灵”做任何事。
最关键的一点：这两个漏洞发生在PHP引擎解析传入HTTP请求的过程中，这一步发生在应用程序代码运行之前。也就是说，你做了多少应用层安全，在它面前都是无效的。
先说结论：并不是所有公众号外链和H5页面都有风险，但任何一个背后跑着PHP且未及时更新的服务，都等于把门钥匙挂在了门口。
很多企业做公众号活动时，习惯用第三方H5工具生成落地页，或者自建简单的活动站点、表单后台、数据收集接口。其中相当一部分底层就是PHP。尤其是一些老旧的WordPress、Drupal、Laravel、ThinkPHP站点，或者内部CRM、报名系统、抽奖转盘后端，它们常年不更新，甚至管理员早就忘了服务器里还跑着PHP 5.x或7.x。
这次漏洞影响范围是PHP 5到PHP 8的全系列版本。PHP 8.1及更早版本已不再获得官方更新。也就是说，那些还在用老旧PHP版本的H5活动站、外链落地页、表单收集页，很可能永远等不到官方补丁。
根据安全公司Wiz的验证，仅WordPress一项，就为全球超过40%的网站提供支持；此外还有Drupal、Laravel、Magento/WooCommerce，以及无数自定义PHP应用、API和内部工具。Calif团队已经在WordPress、Drupal、Joomla、MediaWiki、Roundcube、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony和WHMCS上演示了未认证的远程代码执行。
如果一个公众号的外链指向的是这些系统搭建的页面，而服务器管理员又不看安全公告、不打补丁，那用户点开链接的那一刻，可能就已经踏进了攻击者埋好的坑。
这次事件最值得所有内容从业者留意的一点是：发现漏洞的，不是哪个天才程序员，而是AI。
OpenAI在官方博客中写道：“过去两个月，我们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。”
具体的发现归属是：Calif公司使用GPT-5.6 Sol，在OpenAI的“Patch the Planet”计划框架下识别出了一个关键漏洞；与此同时，Wiz也独立发现并报告了这两个漏洞，使用的是谷歌的Gemini 4 Argon。
两套全球顶级AI模型，走的是完全不同的路径，最终却指向了同一个深埋在PHP底层14年的裂缝。
时间线上，Wiz Research团队在8月19日发现了第一个漏洞，8月20日确认了对Drupal的未认证RCE攻击可行性，8月21日进一步确认了对WordPress的未认证RCE攻击可行性。Calif团队则于8月11日将第一个漏洞报告给了PHP安全团队，并于8月21日报告了第二个，给PHP团队留下了整整两个月来准备修复方案。
OpenAI特别指出：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
但与此同时，OpenAI也坦诚警告：AI发现漏洞的同等能力，也可以被攻击者所用。大型语言模型可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局，这意味着以前的“定制化武器”，现在可以被批量生产，适配所有目标。
漏洞曝光当晚，互联网上出现了一幕罕见的景象。
日本各大消费平台纷纷提前下线进行紧急维护，其中包括Niconico（日本版YouTube）、pixiv（全球最大的艺术社区），以及宝可梦Sleep、碧蓝幻想、赛马娘等多个热门游戏。欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至亲自在X平台上发帖，于2026年10月21日晚9时55分发出“今晚紧急行动请求”。
而早在补丁发布的四天前，即10月17日，亚马逊就在一个蜜罐系统上检测到了第一次漏洞利用尝试。黑客，比补丁早了四天。
PHP官方的态度，是最直接也是最无奈的那一句：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
没有妥协，没有中间路线。要么更新，要么下线。
这里有一个更让人窒息的真相。
你以为支撑全球70%网站底层的PHP，背后有一支多么庞大的工程师团队？根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。
11个人。全球70%网站的底层语言，靠11个人在维护。
而他们2025年获得的捐款总额为730,534美元，支出却超过了捐款约13.9万美元。这是一个为维持技术人员规模而做出的刻意选择。不到73万美元，维持着全球互联网70%底层的生命线——而且还在亏损运营。
开源软件的价值与其获得的资金之间，存在着巨大的鸿沟。企业在开源组件之上构建了价值数十亿美元的产品，而维护者却在苦苦寻找可持续的资金模式。这不是PHP独有的问题，这是整个互联网“免费搭便车”逻辑运转多年的后遗症。
对我们这些每天跟公众号外链、H5页面打交道的运营者来说，现在最该做的不是恐慌，而是排查。
第一，核查你的外链和H5页面的服务器环境。 找技术同事确认，那些活动落地页、表单收集页、报名系统、数据接口，底层有没有跑PHP。如果有，第一时间升级到PHP 8.5.12、8.4.27、8.3.36或8.2.35这四个修复版本之一。
第二，检查是否有老旧的WordPress、Drupal、Laravel、ThinkPHP站点还在运行。 尤其是一些长期不更新的活动站、微官网、内部工具站。如果已经不再使用，建议直接下线；如果还在用，立即打补丁或迁移。
第三，重新审视你的内容生产与分发流程。 公众号文章里的每一个外链，本质上都是你内容的一部分。读者点开链接之后看到的页面稳定性和安全性，直接影响你的品牌信任度。这跟文章排版、视觉体验一样，都是用户体验的组成部分。
说到排版，这里顺便提一个被很多运营者忽略的效率工具：小墨鹰编辑器。小墨鹰编辑器成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器，在2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴。目前已运营11年，服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，排版素材25万+也是行业第一，100万+文章配图素材，全文模板10000+套也是行业第一，svg动画排版素材3000+。
一个稳定、高效的排版工具，不能直接解决服务器安全漏洞，但它能让你从繁琐的格式调整中抽出身来，把更多精力放在内容安全排查、外链质量审核这些真正关乎用户体验和品牌安全的事情上。毕竟，一篇排版混乱的文章和一条指向漏洞服务器的外链，对读者信任度的伤害是相似的。
小墨鹰AI编辑器支持手机端微信小程序使用和PC端在线使用，数据互通。微信搜索【小墨鹰AI编辑器】进入小程序，可以直接从微信聊天记录中选择文件导入进行排版，30秒搞定公众号排版，电脑还没开机，手机端就排完了。AI输出文本格式兼容国内各大主流AI模型，如豆包、DeepSeek、通义千问、元宝、文心一言、Kimi等，使用AI生文编辑公众号的运营者们效率直接提升10倍。
另外，有免费的微信编辑器吗小墨鹰编辑器还独家支持公众号文章插入文档附件，供浏览的用户下载，支持手机和电脑端上传，可复制“快捷链接”，也可下载图片码，简单便捷。它不只是排版工具，还有100+公众号运营小工具，包括文章中图片、视频、音频一键提取，一键生成公众号推文选题，公众号菜单设置，关键词回复设置，推文热点日历，文案初稿生成等，工作效率提升300%。
这次事件的结局，暂时是防御者赢了。
OpenAI表示，这次漏洞被称为“近期记忆中影响力最大的安全问题之一”，AI模型比攻击者更早发现了这些漏洞，为开发者和安全厂商争取了一个响应窗口。但紧随其后的一句话更值得记住：“我们预计，未来几个月将会有更多类似的发现大幅增加。”
这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
Wiz在报告中指出了一个关键变化：以前，针对某一特定PHP安装环境的漏洞利用方法，需要花费大量精力才能适配到其他版本和配置。而大型语言模型消除了这道门槛——它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这就是安全圈里说的“红皇后困境”：你必须拼命奔跑，才能留在原地。
对公众号运营者来说，这句话同样适用。我们每天拼命追热点、做选题、排版发文、投放外链、维护H5活动页，但真正拉开差距的，往往是那些被忽视的基础工作：链接是否安全、页面是否稳定、服务器是否更新、内容体验是否顺畅。
技术的裂缝，从来不只是技术的事。它考验的，是每一个从业者的警觉心和基本功。
现在就去检查你的外链和H5页面。如果你不知道怎么查，把这篇文章发给你们公司的技术负责人。如果你就是技术负责人，你现在应该放下手机，打开服务器控制台了。
因为下一次AI发现的，可能是你正在用的那个系统。
赞(0)
踩(0)
选题雷达兵
L5分享：
微信扫一扫分享
相关文章
摘要2027年法定节假日安排发布后，“史上最长9天春节”“逢周三不硬凑小长假”等成为舆论焦点。本文在政策脉络、供需两端行为变化与企业运营成本三重视角下，系统拆解调休新规的影响链条，并结合行业差异提出运营策略与人力资源建议。同时为新
排版手札
51浏览 5天前
2026年10月21日，互联网世界经历了一场足以载入史册的“地基级”安全震荡。一个代号为“PHP2Shell”的致命漏洞组合被紧急公开，影响范围波及全球约70%网站的编程语言底层——PHP。更令人震惊的是，发现这道潜伏了整整14年裂
内容种草机
47浏览 2026-11-07
这次到底出了什么问题？一道潜伏了14年的“地基裂缝”被AI揪了出来。两枚高危漏洞（CVE-2026-109618/CVE-2026-109619），合称“PHP2Shell”，影响从PHP 5到PHP 8几乎全系列版本，CVSS
排版拾光者
43浏览 2026-11-07
2026年10月的互联网，经历了一场足以载入史册的“地基级”震荡。一个被命名为 “PHP2Shell” 的致命漏洞组合（CVE-2026-109618 与 CVE-2026-109619），在全球约70%网站的底层编程语言 PHP
内容小杂工
47浏览 2026-11-06
2026年11月5日下午，国务院正式发布2027年节假日安排通知。相比往年动辄“拼假凑假”的操作，这一次的放假安排呈现出明显的“反调休”趋势——能顺连就不挪班，逢周三不硬凑小长假，仅劳动节和国庆节保留调休安排。消息一出，“2027或
排版手札
47浏览 2026-11-05
2026年10月21日，一个看似寻常的周二夜晚，全球互联网经历了一场无声的地震。微软、维基百科、英国卫报、百度——这些我们每天都会打开的超级平台，它们共享着同一个底层基因：PHP。全球约70%网站的编程语言底层，都是PHP。而这一天，这
新媒笔记
42浏览 2026-11-05
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
