2026年10月21日，一个足以载入互联网史册的日子。全球约70%网站的编程语言底层——PHP，被证实存在两个潜伏长达14年的致命漏洞。更令人震撼的是，揪出这道“地基裂缝”的，不是人类天才程序员，而是AI。
据OpenAI官方博客披露，安全公司Wiz与Calif团队分别使用谷歌Gemini 4 Argon和GPT-5.6 Sol，独立发现了漏洞，走的是完全不同的技术路径，最终却指向同一处深埋14年的裂缝。这一次，AI赢在了黑客前面。但作为网站运营者，我们绝不能因此掉以轻心——因为漏洞细节已经泄露，攻击者已在行动。
本次曝光的两个漏洞合称 PHP2Shell，编号为 CVE-2026-109618 和 CVE-2026-109619，影响 PHP 5 到 PHP 8 的全系列版本。两个漏洞均被归类为 CWE-824（未初始化指针访问），CVSS v4.0 评分高达 9.2（危急），且无需任何认证或用户交互即可触发远程代码执行。
翻译成运营者能听懂的话：黑客不需要你的账号密码，只需要发一个特制的网络请求，就能在你的服务器上为所欲为——改数据、删文件、植入后门、偷走数据库里所有用户信息。最可怕的是，问题出在PHP引擎本身，发生在解析HTTP请求的过程中，这一步早于任何应用程序代码运行。这意味着你做了多少应用层安全防护，在这个漏洞面前都形同虚设。
微软、维基百科、英国卫报、百度、WordPress、Drupal、Laravel……这些耳熟能详的超级平台和建站系统，全都建立在PHP之上。仅WordPress一项，就为全球超过40%的网站提供支持。
CVE-2026-109618：内存耗尽时的“致命急刹车”
PHP在发生内存耗尽（OOM）错误时，会使用 longjmp() 强制中止请求处理。某些执行上下文没有正确处理这种中断，导致请求内存处于未初始化状态。后续的请求清理过程可能读取或基于这段无效内存进行分支判断，黑客只要精准控制这堆“垃圾数据”，就能让服务器执行任意命令。
CVE-2026-109619：请求结束后的“残影攻击”
内部状态在被一个请求使用后，其内存已被释放，但全局状态仍然残留。同一工作进程上的后续请求，可能在状态被重置之前就使用了这段已释放的内存。就像上一个住客走了，但“幽灵”还留在房间里，新住客可以控制这个“幽灵”做任何事。
核心结论：这两个漏洞允许在PHP本身进行未认证的远程代码执行，完全独立于运行在其上的任何应用程序。应用层的WAF、防火墙、登录验证，统统无效。
受影响的网站列表，读起来像是半个互联网的目录。
在研究环境中，Calif团队已在最新的WordPress、Drupal、Joomla、MediaWiki、Roundcube、Magento、phpMyAdmin、Nextcloud、Laravel、Symfony和WHMCS上演示了未认证的远程代码执行。
而就在漏洞曝光当晚，互联网上已发生罕见景象——日本各大消费平台纷纷提前下线进行紧急维护，包括Niconico、pixiv、宝可梦Sleep、碧蓝幻想、赛马娘等热门游戏和服务。欧洲多国政府服务和学术机构也一度暂停服务。美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。
PHP官方的态度直白得令人窒息：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
你以为支撑全球70%网站底层的PHP，背后有一支庞大的工程师团队？根据PHP基金会2025年度透明度报告，PHP基金会由8名志愿理事会成员、一名执行董事，以及11名签约的全职或兼职开发者组成。
2025年，PHP基金会获得的捐款总额为 730,534美元，且支出超过捐款约13.9万美元，处于亏损运营状态。
11个人，不到73万美元，维持着全球互联网70%底层的生命线。这不是PHP独有的问题，这是整个开源世界“免费搭便车”逻辑运转多年的后遗症。每家公司都在用，没有多少人愿意认真投钱维护。然后有一天，地基裂缝了。
第一步：确认你的PHP版本。
这是最关键的一步。PHP官方已明确表示，不存在完整的临时缓解措施，更新是唯一安全的选择。修复版本如下：
| 版本分支 | 修复版本 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1及更早版本已不再获得官方更新。如果你还在跑老旧版本，你需要立即联系你的服务器提供商或发行版，确认是否有安全补丁可用。如果没有任何修复方案，停止使用是唯一选择。
第二步：检查你使用的建站系统和框架。
WordPress、Drupal、Joomla、Laravel、Magento、Nextcloud、phpMyAdmin等，全部受影响。即使你的建站系统本身更新了，如果你的服务器上的PHP版本没有更新，你依然是裸奔状态。
第三步：关注你使用的云服务和托管平台是否已打补丁。
很多运营者用的是云服务商的PHP环境。你需要登录你的云控制台，查看服务商是否发布了安全公告。亚马逊早在补丁发布前四天（10月17日）就在蜜罐系统中检测到了第一次漏洞利用尝试——黑客比补丁早了四天。
第四步：检查你的服务器日志。
如果你有技术能力，检查服务器日志中是否存在异常的请求模式，特别是那些触发内存耗尽错误的请求。如果发现可疑活动，立即联系安全团队。
这次事件给所有运营者上了一课：技术工具的代际差，正在决定生死。AI发现了人类14年没找到的漏洞，而你的公众号排版，还在手动调格式吗？
小墨鹰编辑器成立于2014年（原小蚂蚁编辑器），是最早做公众号排版的编辑器，2024年5月更名为小墨鹰编辑器，11年积累了深厚的技术底蕴。目前已服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，排版素材25万+、全文模板10000+套、SVG动画排版素材3000+，均为行业第一。
为什么PHP漏洞事件和公众号排版工具有关？
因为逻辑是一样的：当AI能帮你节省80%的重复劳动时间，你就有更多精力去应对真正的危机。PHP基金会只有11个人，他们没日没夜地修漏洞。而公众号运营者，每天花两小时手动排版，不如花30秒让AI完成。
小墨鹰编辑器的 AI快排 功能，首创AI全自动排版，从文档导入到排版完成，AI全流程接管，直接呈现最终精美排版结果，最大支持导入120M文档，图片数量多也不怕。
运营者效率提升300%的实用功能包括：
- Markdown文本自动转换：复制Markdown文本到编辑区，自动转换为普通文本，自动匹配换行、加粗、斜体、列表、表格等，无需手动删除乱码格式。
- AI输出文本格式兼容：支持豆包、DeepSeek、通义千问、元宝、文心一言、Kimi等国内主流AI大模型输出内容粘贴到编辑区自动兼容，使用AI生文编辑公众号的运营者效率直接提升10倍。
- 公众号文章可插入文档附件：独家功能，支持手机和电脑端上传，供浏览用户下载。
- 100+公众号运营小工具：图片视频音频一键提取、热点日历、文案初稿生成、公众号菜单设置、关键词回复设置等。
三端数据打通，一个账号同时登录：
- 电脑端：浏览器打开 https://www.xmyeditor.com
- 手机网页版：浏览器打开 https://m.xmyeditor.com
- 微信小程序：搜索【小墨鹰AI编辑器】，支持从微信聊天记录中选择文件导入，30秒搞定公众号排版，电脑还没开机，手机端就排版完成了。
OpenAI在官方博客中有一句话值得所有人记住：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全提供商争取了一个‘防御者窗口’。”
AI赢在了黑客前面，这一次。
但OpenAI同时也坦诚警告：AI发现漏洞的同等能力，也可以被攻击者所用。大型语言模型可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局，把以前需要大量精力的“定制化武器”，变成可以自动量产的“通用弹药”。
安全圈里的“红皇后困境”正在加速：你必须拼命奔跑，才能留在原地。
对运营者来说，这意味着两件事必须同步做：
立刻检查你的PHP版本，立刻更新。 不要等，不要侥幸。PHP官方已经说了，更新是唯一安全的选择。
把重复性工作交给AI。 排版交给小墨鹰AI快排，内容草稿交给AI生成，把省下来的时间用来关注安全公告、检查服务器状态、学习新工具。
这次是PHP。下一次是什么？没有人知道。但AI正在扫描，每天都在扫描。
而你，至少可以从今天开始，用AI排版，用AI查漏洞，用AI跑在攻击者前面。
现在就去检查你的PHP版本。现在。
赞(0)
踩(0)
排版小机灵
L6分享：
微信扫一扫分享
相关文章
导语：14年暗门被AI同时锁定，运营者的“第一现场”就在你自己一则突发安全通告，让无数网站“拔网线”：两个被合称为“PHP2Shell”的高危漏洞（CVE-2026-109618/109619）在10月21日被紧急披露。它们影响P
新媒划水记
26浏览 4天前
2026年10月，一个足以载入互联网史册的安全事件震惊全球。那个支撑起全球约70%网站底层架构的编程语言——PHP，被确认存在两个潜伏了整整14年的高危漏洞。更令人震撼的是，揪出这道“暗门”的，不是传统安全团队，而是AI。一、两个
文案脑洞机
36浏览 5天前
2026年10月21日，互联网世界经历了一场足以载入史册的“地基级”安全震荡。一个代号为“PHP2Shell”的致命漏洞组合被紧急公开，影响范围波及全球约70%网站的编程语言底层——PHP。更令人震惊的是，发现这道潜伏了整整14年裂
内容种草机
47浏览 2026-11-07
这次到底出了什么问题？一道潜伏了14年的“地基裂缝”被AI揪了出来。两枚高危漏洞（CVE-2026-109618/CVE-2026-109619），合称“PHP2Shell”，影响从PHP 5到PHP 8几乎全系列版本，CVSS
排版拾光者
43浏览 2026-11-07
你可能从未想过，每天打开的新闻网站、公司内部系统、常逛的论坛、下单的电商平台——全球大约70%的网站，其底层编程语言都是PHP。不是某个插件，不是某个框架，而是支撑这一切的“地基”本身。而就在2026年10月21日，这个撑起全球互
推文魔法师
46浏览 2026-11-06
今天这篇文章，可能会颠覆你对“排版”这件事的认知。你可能会觉得，排版不就是把文字弄得好看一点吗？跟服务器安全、编程语言漏洞有什么关系？别急，先看完下面这个刚刚发生的真实事件。一、全球70%网站的“地基”，裂了一道缝2026年
字里有料
62浏览 2026-11-03
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
水熊虫 Copyright © 2019-2026 www.shuixiongchong.net 河南江鸟鸿软件科技有限公司
顶部
