精华速览

10 月 21 日，代号 PHP2Shell 的两个 PHP 高危远程代码执行漏洞信息意外泄露，迫使 PHP 基金会提前发布紧急安全补丁。漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，严重程度评分达 9.2 分（满分 10 分）。全球约 69.4% 的网站后端使用 PHP，日本使用比例高达 92%，成为重灾区。欧洲多国政府与学术机构紧急断网，niconico、pixiv 及多款游戏服务下线。漏洞早在 2024 年已被发现，但直到 OpenAI 发起「Patch the Planet」项目，借助 AI 才找到稳定利用方式。PHP 基金会仅 11 名开发者维护全球七成网站底座，旧版分支无法获得补丁，大量网站仍处风险之中。

要点透视

  • 漏洞编号 CVE-2026-109618 和 CVE-2026-109619，PHP 基金会评分 9.2 分（满分 10 分），属于远程代码执行（RCE）漏洞，攻击者可在服务器执行任意代码。
  • 全球约 69.4% 的网站后端使用 PHP，WordPress、Drupal、Joomla、MediaWiki 等主流系统均基于 PHP 构建；日本使用比例达 92%。
  • 漏洞信息于 10 月 21 日晚意外泄露，PHP 基金会被迫提前发布原计划中的紧急补丁；思科、WatchTowr、360 等安全团队已复现攻击流程，Cloudflare 观察到小规模攻击行为。
  • 漏洞早在 2024 年外部安全审计中被发现，但因缺乏稳定复现方式且修复可能影响兼容性，修复工作被搁置。
  • 2025 年 6 月 OpenAI 发起「Patch the Planet」项目，合作安全公司 Calif 在不到两个月内找到利用方式；Wiz Research 借助 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 独立发现相同漏洞。
  • PHP 基金会 2025 年全年捐助收入 73 万美元，仅有 11 名全职及兼职签约开发者，贡献了当年 PHP 核心代码库约 42% 的提交。
  • 全球近半数网站仍使用已结束支持周期的旧版 PHP，这些分支无法获得补丁，处于「裸奔」状态。
  • 受影响服务包括 niconico、pixiv、《赛马娘》《碧蓝幻想》及任天堂相关游戏服务，寿司郎小程序也暂停运行。

文章拆解

PHP2Shell 事件暴露的不仅是两个高危漏洞，更是全球互联网基础设施的深层脆弱性。PHP 作为支撑约七成网站的后端语言，其生态覆盖面极广，但维护力量却高度集中且资源有限。PHP 基金会全年捐助收入仅 73 万美元，11 名开发者贡献了核心代码库约 42% 的提交，这种投入与影响力之间的落差，使得核心代码的任何改动都面临兼容性风险，修复工作容易陷入「拖而不决」的困境。2024 年审计发现的内存管理问题，正是因为缺乏稳定复现方式且担心影响第三方插件，才被搁置至今。

AI 在本事件中扮演了关键变量。OpenAI 的「Patch the Planet」项目让安全团队借助 AI 在不到两个月内找到可行攻击路径，Wiz Research 也通过多个模型独立复现。Wiz 称该漏洞利用复杂度「几乎超出人类研究人员能够实现的范围」，这意味着 AI 正在将原本沉睡的缺陷转化为现实威胁。OpenAI 同时预警，未来几个月类似发现的数量将大幅增加。这一趋势对防御方既是工具也是压力：AI 能加速补丁开发，但攻击者同样可能利用 AI 搜寻未修复系统。

从行业影响看，日本作为 PHP 使用比例高达 92% 的市场，政府与学术机构紧急断网，游戏和内容服务大面积下线，说明单一技术栈的集中依赖会放大安全事件的冲击半径。更值得关注的是，全球近半数网站仍运行在已结束支持的旧版 PHP 上，这些系统从补丁发布之日起就处于无保护状态。网站管理者是否有意愿、有能力完成升级，将决定实际损失规模。

潜在风险还包括补丁的兼容性问题。PHP 生态中大量第三方插件与扩展可能因核心改动而失效，部分运营方可能因此推迟更新，形成「补丁已发、系统未修」的窗口期。此外，漏洞信息泄露后，攻击者与防御方进入竞速阶段，Cloudflare 已观察到小规模攻击行为，后续是否出现大规模利用尚待确认。长期来看，开源基础设施的维护资金与人力缺口、旧版系统的迁移惰性，以及 AI 驱动的漏洞发现常态化，将共同构成互联网安全的持续性挑战。

查看原文