PHP编程语言被曝两个潜伏十年、评分9.2/10的严重漏洞。漏洞信息于10月20日提前泄露，黑客比官方补丁早约15分钟动手，荷兰、芬兰、法国等多国政府网站连夜预防性下线。
关键数据
9.2
/ 10分（CVSSv4.0）
两个漏洞均获最高危评级，安全公司watchTowr直接打满分
~75%
可识别语言网站
全球约75%已知编程语言网站跑在PHP上（W3Techs）
~43%
全球所有网站
WordPress由PHP驱动，支撑全球约43%网站
258万
个可访问PHP主机
Censys监测；其中约158万个版本早于修复版
10+年
潜伏时长
漏洞根因可追溯至PHP 5.4时代，始终未被人工审计发现
+2.72%
纳斯达克网络安全ETF
事件当日美股网络安全板块明显走强
漏洞评级：PHP2Shell双弹
CVE-2026-109618
9.2 / 10
触发内存耗尽（OOM）→内存损坏→远程代码执行，无需身份认证
CVE-2026-109619
9.2 / 10
构造异常HTTP请求→内存错误→服务器完全失控，在Apache部署下应用代码运行前即触发
来源：PHP官方 CVSSv4.0 评分 | 两项漏洞统称 PHP2Shell
事件时间线
10月22日
日本首相关站、维基百科下线，多国持续响应
日本首相高市早苗关闭个人网站并发紧急警告；维基媒体基金会关闭部分系统；加拿大联邦人工智能部长Solomon宣布部分政府网站预防性下线。
10月21日 13:45 GMT
PHP官方发布修复版本：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
PHP Foundation发布紧急安全更新，敦促所有用户"立即更新"；亚马逊确认漏洞"已在野外被大规模利用"。
10月21日（补丁前）
多国政府连夜拔网线，黑客已开始批量攻击
荷兰NCSC带头关闭官网；芬兰Valtori关闭全部公共网络服务；法国、丹麦、比利时、德国跟进。Cloudflare CTO Knecht确认攻击已出现。
10月20日
漏洞信息提前泄露，黑客比补丁早约15分钟动手
原计划在本月晚些时候保密公开，但细节提前外泄，攻击者立即展开扫描与入侵，防御时间窗口系统性压缩。
2026年8月1日
AI率先发现漏洞，秘密研发补丁
Calif借助GPT-5.6 Sol发现漏洞，Wiz同期用Gemini 4 Argon独立验证。PHP团队随即在保密状态下开始修复，历时近三个月。
2024年（回溯）
内部审计已见OOM苗头，但被搁置
PHP Foundation复盘承认：一位核心开发者当时注意到内存耗尽问题苗头，因缺乏利用路径且有更紧迫任务未深入跟进，后续修复陷入兼容性与性能拉扯而反复搁置。
为何潜伏十年没被发现？
🔍
人工审计的能力边界
漏洞出在PHP最底层内存管理，与上层业务代码无关。Wiz研究人员指出，其可利用性验证"处于人类研究者能力的边缘"，世界级团队人工验证需数月。
⚙️
看见了也修不动的制度困境
PHP基金会复盘定性为"结构性失败"：修复工作陷入兼容性、性能与协调成本的反复拉扯，支撑全球75%网站的运行时，长期依赖少数志愿者维护，安全投入与实际承载量严重不匹配。
🤖
AI把"理论可能"推入"工程可行"
Calif + GPT-5.6 Sol在数小时内完成了人工数周才能完成的代码审计。Wiz表述：借助前沿AI，"一名研究员在一周内完成了此前世界级团队需数月的工作"。
AI既是拆弹者，也是放大器
1
防御侧：AI率先发现漏洞，打开"防御者之窗"
OpenAI表示："据我们所知，前沿AI在攻击者之前率先发现了这些漏洞。" Calif + GPT-5.6 Sol完成了人工数周才能完成的代码审计。
2
转折点：补丁公开即等于攻击路径公开
AI工具可对已发布补丁进行快速逆向工程，在数小时内还原完整攻击路径，"有效利用代码（PoC）出现时间"已从数周压缩至24—72小时。
3
攻击侧：批量扫描+即时利用，防御起跑线被系统性前移
Olejnik（伦敦国王学院）："借助人工智能，利用可能瞬间发生，规模更大。" TLP:Black联合创始人Raiu："AI正在驱动一场漏洞利用竞赛，下一步是互联网所有存在漏洞服务器遭到大规模攻陷。"
4
根本矛盾：防御审批周期以"周/月"计，攻击窗口已缩至"小时"
360研究院提出的"AI安全时间差"：多数政府机构补丁审批仍以周和月计，而高价值漏洞从披露到可用PoC已压缩至24—72小时——防御者还没站上起跑线，竞赛已经开始。
各方声音
Cloudflare CTO
Dane Knecht
"攻击已经出现，我们正在持续更新防火墙规则作为过渡措施，但这仅是权宜之计——应尽快打补丁。"
Wiz（谷歌旗下）
研究团队
"这是软件历史上最严重的漏洞之一。借助前沿AI模型和合适工具，一名研究员在一周内完成了此前世界一流团队需要数月才能完成的工作。"
加拿大联邦AI部长
Evan Solomon
"政府正极其严肃地对待此事，相关网站会在修复完成后尽快恢复上线。"
伦敦国王学院研究员
Lukasz Olejnik
"随着人工智能辅助攻击手段的扩散，漏洞利用可能在大规模、即时的层面上迅速蔓延。"
ai 到处挖漏洞一整年, 终于给人类爆了个大的
极客公园
php爆雷引发全球紧急「拔网线」, 别指望 ai 拯救互联网
爱范儿
三类响应路径对比
策略
代表方
核心依据
预防性下线
荷兰NCSC（连自身官网）、芬兰Valtori（政府全部公共服务）、法国内政部、丹麦Kombit
ENISA建议："无法及时修复则应暂时关闭"
边修补边维持
Cloudflare（防火墙规则过渡）、Automattic（WordPress托管用户无恙）
具备实时响应能力的大型平台，补丁可在线推送
发警告未强制
NSA、FBI、英国NCSC、欧盟ENISA
建议立即更新，无法更新者临时缓解；是否下线由各机构自行决定
影响范围：不只是B端
WordPress
全球约43%网站底层，含博客、电商、政务缴费入口——均跑PHP
~158万
可识别版本的PHP主机中，版本早于修复版的数量（Censys）
无需密码
攻击者只需扫描、发送异常HTTP请求，无需任何账号密码
Pixiv / NicoNico
日本头部创作社区、弹幕平台紧急维护；《赛马娘》等热门游戏下线
网络安全专家提醒：PHP运行在服务器上而非个人设备，普通用户不必恐慌。若某网站暂时无法访问，可能是主动避险。
警惕这几天以"系统升级"名义发来的钓鱼短信。
为预防php安全漏洞, 芬兰政府临时关闭部分网站
IT之家
php曝出两处严重漏洞,多国网站为何主动下线?
西红柿说世界
现在应该做什么？
🛠
服务器运维人员
立即升级至修复版本：PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；已结束支持的旧版需迁移至受支持版本或核查厂商回移植方案。
📣
个人博主 / 小网站站长
使用共享主机无法自主管理PHP层的，立即催运营商打补丁；WordPress的自动更新不会修复PHP这一层，需单独确认。
👤
普通用户
暂时打不开的网站可能是主动避险，无需恐慌。高度警惕以"系统升级""安全通知"为名的钓鱼短信；若相关网站后续发布数据泄露通知，按提示更换密码。
PHP是什么？为何牵一发动全身
PHP：互联网的隐形基础设施
诞生于1990年代初，名称最初是"Personal Home Page（个人主页）"的缩写，是免费开源的服务端脚本语言，由志愿者维护。
当用户打开网页，运行PHP的服务器在后台组装内容（数据库查询、用户验证、页面生成），再将完整页面发给浏览器——PHP跑在服务器上，而非你的设备里。
WordPress、Drupal、Joomla、Magento、MediaWiki（维基百科）均建在PHP之上。任何PHP底层漏洞，都直接绕过上层业务代码的防护——"哪怕页面只是一个 Hello World"。
藏了十年的php漏洞，ai一周挖出
棉航航侃侃
ai发现php严重漏洞！全球75%网站面临威胁 多国政府网站紧急下线
鸿途似锦