PHP底层曝出两个CVSSv4.0评分9.2的远程代码执行漏洞（代号"php2shell"），无需登录即可接管服务器。88万台EOL旧版主机官方不再修复，成为无人兜底的长尾风险。
9.2
CVSSv4.0评分（满分10）
75%
全球可识别网站使用PHP
88万
公网暴露的EOL旧版主机
攻击已出现，Cloudflare CTO Dane Knecht 确认已监测到早期攻击活动；官方明确：无配置层面的完整缓解方案，打补丁是唯一正解。
两条漏洞路径：不是你的代码写得烂
CVE-2026-109618
构造畸形请求 → 耗尽内存 → 执行代码
攻击者发送包含大量头部或嵌套字段的multipart请求，耗尽memory_limit触发内存不足（OOM）。PHP用longjmp()提前退出时，请求内存尚未初始化，清理阶段将无效数据当作有效数据处理，最终导致内存损坏与远程代码执行。
CVE-2026-109619
跨请求残留状态 → 释放后使用 → 执行代码
PHP工作进程保留上一个请求的全局状态（会话、错误、扩展状态），下一请求在正常初始化重置之前就访问这些失效数据，导致释放后使用。Apache mod_php 在应用代码执行前即可触发，风险更高。
「这不是某个插件的 bug，也不是某个框架的边缘案例——出问题的是 PHP 本身。」
CERT-EU 安全公告
影响范围：全球互联网的"地基"裂了
PHP 驱动的主要平台全球资产（FOFA口径）
WordPress
7,226万台
Drupal
约百万量级
公网暴露EOL主机（PHP 8.1及更早）
88万台（无官方补丁）
WordPress生态中EOL分支站点占比
36.6%
数据来源：NOSEC/FOFA；ic.work；WordPress占比数据来自WordPress官方及W3Techs
攻击者无需逐一锁定目标——扫描互联网即可批量发现存在漏洞的服务器。安全公司Sansec预测，官方补丁发布后15分钟内即可出现大规模自动化攻击。
各方应对：能力断层一目了然
大厂应对
Cloudflare + 谷歌云
Cloudflare为所有用户（含免费套餐）部署WAF初始规则，拦截已知利用向量；谷歌云敦促客户立即升级，并披露旗下Gemini 4 Argon参与漏洞发现与补丁验证。
来源：Dane Knecht X平台原文；谷歌云公告
政府机构
荷兰、芬兰、法国
荷兰鹿特丹港、政府门户Overheid.nl、荷兰足协及多家医院相继下线；芬兰IT中心Valtori关闭全部政府公共网络服务；法国内政部临时下线省级行政网站。
来源：路透社；IT之家
游戏/内容平台
日本游戏生态
碧蓝幻想、公主连结、赛马娘、命运-冠号指定、任天堂Switch网络服务，以及pixiv、niconico、DLsite等大量日本内容平台相继进入紧急维护状态。
来源：搜狐IT时代网；安泽日记
EOL站点持有者
88万台 PHP 8.1及更早主机
官方补丁只覆盖 PHP 8.2–8.5，EOL版本无法获得任何官方修复。多为共享主机、中小企业站点，缺乏运维能力，是本次事件最脆弱的一环。
来源：Huntress报告；Wordfence
cloudflare首席技术官称发现php漏洞早期攻击
观点地产新媒体
官方补丁只打4个版本，EOL断档是核心问题
PHP分支
修复版本
状态
PHP 8.5
8.5.12
立即升级
PHP 8.4
8.4.27
立即升级
PHP 8.3
8.3.36
立即升级
PHP 8.2
8.2.35
立即升级
PHP 8.1及更早
—
EOL，无补丁
官方明确：没有能完整替代补丁的配置缓解方案。WordPress的自动更新不会更新底层PHP，需手动确认PHP版本并联系托管商。
88万台无补丁主机：谁来兜底？
临时防线·有效但不够
WAF（Cloudflare / 宝塔面板）
可拦截已知利用向量，Cloudflare免费套餐已覆盖；但Dane Knecht明确："这仅是权宜之计，应尽快打补丁"。攻击者绕过WAF后，漏洞服务器仍可能被攻陷。
迁移路径·代价最高但最彻底
升级到 PHP 8.2+
部分旧系统（PHP 5/7时代代码库）升级成本极高，尤其是十年以上的遗留项目。升级后需重新测试全部业务功能，不可一键完成。
最后手段·CERT-EU建议
无法修复就下线隔离
无法在短期内升级或部署WAF时，CERT-EU建议将受影响的互联网暴露型应用与公共网络隔离，临时停止对外服务。
为预防php安全漏洞, 芬兰政府临时关闭部分网站
IT之家
现在该做什么：可执行清单
1
确认当前PHP版本
命令行执行
php -v
，或在宝塔面板 / 控制台查看。
2
在 PHP 8.2–8.5？立即升级
升级至对应修复版本（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12），这是唯一完整修复。
3
在 PHP 8.1 及更早？部署WAF作临时缓解
启用 Cloudflare WAF 或宝塔面板安全规则拦截已知向量。
⚠ WAF不能替代补丁，需同步规划升级迁移计划
4
WordPress用户：更新插件 ≠ 修复PHP
WordPress核心/插件自动更新不涉及底层PHP版本，需联系托管商确认PHP已升级。
5
Apache mod_php用户：风险更高，优先处理
已有演示表明攻击可在应用代码执行前触发，不依赖任何业务层漏洞。
AI挖漏洞首次参与PHP级别事件
谁发现了这两个漏洞？
安全公司Calif使用GPT-5.6 Sol发现CVE-2026-109618；安全公司Wiz独立发现并报告两项漏洞。谷歌云旗下Gemini 4 Argon参与漏洞利用开发、攻击检测与补丁验证。
为什么这是一个信号？
OpenAI将此次行动定名为"Patch the Planet"，表明先进AI模型已能发现影响范围极广的底层软件缺陷——攻防两端都可以利用AI加速。研究员Lukasz Olejnik指出：AI辅助攻击将让漏洞利用在大规模、即时的层面上迅速蔓延。
补丁发布后风险不消失：开源底层的维护债
结构性断层
EOL不是技术问题，是维护责任的真空
PHP由志愿者维护，免费提供使用。旧版本停止支持后，持有88万台EOL主机的多为中小站点和共享主机用户，既无能力升级，也无资金采购企业级支持。
生态积累
WordPress插件漏洞年增42%
Patchstack 2026年报告显示，2025年WordPress生态新增11,334个漏洞，同比增长42%，其中91%来自插件。这次PHP底层漏洞是整个生态中最难防御的一类，因为无论插件写得多好，底层出问题都无法绕过。
Cloudflare股价一度涨约6%，Datadog涨超6%，Zscaler、Okta涨超5%——这次漏洞客观上成了网络安全板块的催化剂，但88万台无补丁主机的处境不会因股价上涨而改变。