PHP爆雷引发全球紧急「拔网线」，别指望 AI 拯救互联网
内容提要
2026年10月，PHP被曝出两个CVSS 9.2分的远程代码执行漏洞（PHP2Shell），攻击者无需账号即可在应用代码运行前控制服务器。漏洞细节因提前泄露而被迫提前披露，欧洲多国政府网站及日本多个平台紧急下线维护。漏洞源于PHP内核内存管理缺陷，影响约69%的网站，但PHP 5.x/7.x等老版本无官方补丁。AI工具显著加速了漏洞验证，将原本数月的攻击代码开发缩短至一周，引发攻防窗口期缩短的担忧。
延伸解读
漏洞披露失控：补丁即漏洞地图
本次事件中，漏洞细节在协调披露前被泄露，Chainguard 又单方面发布含修复的镜像。补丁本身相当于一份“漏洞地图”，攻击者对比新旧版本二进制文件即可反推漏洞位置和原理。这压缩了防守方本应拥有的时间窗口，也解释了 PHP 基金会为何愤怒。对运营者而言，补丁公开后应尽快升级，因为攻击者同样能快速分析补丁。
老版本无补丁：长尾风险最棘手
修复版本仅覆盖 PHP 8.2 至 8.5，而仍有 27.0% 的 PHP 网站运行 7.x、7.7% 运行 5.x，这些版本已停止维护，拿不到官方补丁。文章提到嵌入式安装、被遗忘的无人维护应用，以及国内大量跑在宝塔面板、ThinkPHP 和 Discuz 上的长尾站点，只能靠迁移或隔离兜底。这意味着漏洞的实际影响可能持续很久。
AI 加速验证，但方向仍靠人
OpenAI 将漏洞发现列入 AI 安全成果，但 Calif 公开正名，称 Ryan Austin 才是第一发现者，其 8 月 5 日的推文含发现哈希。Ryan 在复盘中强调，初次发现未依赖特殊工具或非公开模型，对目标历史的了解决定了追查方向。AI 压缩的是验证时间，将原本数月的攻击代码开发缩短至一周，但发现的方向感仍来自人类研究者。
攻防窗口期正在变成稀缺资源
文章指出，补丁公开后攻防双方拿到同一份代码修改记录，所谓“防守方窗口期”正变成需要精确计算的资源。Cloudflare 虽默认启用 WAF 规则，当天仍观测到攻击流量和绕过尝试。OpenAI 也承认，帮助研究者识别漏洞的能力同样可帮助攻击者打造工具。对网站运营者来说，快速升级、重启 PHP 进程并隔离老版本，比以往更紧迫。
Q&A
PHP2Shell漏洞是什么？严重程度如何？
PHP2Shell是2026年10月公开的两个PHP远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619）的绰号，CVSS评分均为9.2分。攻击者无需账号密码即可远程利用，在Apache常见部署方式下，攻击在网站自身代码运行前就已触发，可直接在服务器上获得shell控制权。
这两个PHP漏洞的技术原理是什么？
CVE-2026-109618源于PHP处理内存耗尽时使用longjmp急刹车，若时机微妙会导致内部数据只初始化一半，后续清理流程误将半成品当正常数据处理，攻击者借此执行代码；CVE-2026-109619是请求处理后全局状态未清干净，同一工作进程处理下一请求时使用已释放内存（释放后使用），可被堆叠成代码执行并泄露密码、令牌等敏感信息。
为什么这次PHP漏洞影响范围这么大？
因为漏洞位于PHP解释器内核，与上层应用无关，哪怕网站只跑一个Hello World也受影响。据W3Techs数据，69.3%的可识别服务端技术的网站使用PHP，WordPress、Drupal、Joomla、MediaWiki等均依赖PHP，所以欧洲多国政府网站和日本多个平台紧急下线维护。
哪些PHP版本没有官方补丁？用户该怎么办？
修复版本仅覆盖PHP 8.2至8.5四个分支。仍有27.0%的PHP网站跑在PHP 7.x、7.7%跑在PHP 5.x，这些已停止维护的版本拿不到官方补丁。对于国内大量跑在宝塔面板、ThinkPHP和Discuz上的老版本长尾站点，只能通过迁移到受支持版本或隔离来兜底。
AI在这次漏洞发现中起了什么作用？
AI显著加速了漏洞验证：Calif研究员Ryan Austin借助GPT-5.6 Sol发现首个漏洞，Wiz用自研平台配合Gemini 4 Argon和GPT-5.6 Sol独立发现漏洞。过去需要世界级团队数月完成的攻击代码开发，现在一个研究员加前沿模型一周就能完成。但第一发现者强调，方向感仍来自人对目标历史的了解，AI压缩的只是验证时间。
漏洞披露过程出了什么问题？
原计划10月22日协调披露，但10月20日Hacker News出现声称评分10.0的帖子，截图传开；安全公司watchTowr几小时内确认泄露属实并复现。PHP团队被迫提前24小时发版。随后Calif误发演示视频疯传，发行商Chainguard又单方面打破保密协议抢先发布含修复的镜像，补丁本身成为漏洞地图。PHP基金会对披露失控表示愤怒。
普通用户和网站运营者分别需要做什么？
普通用户可能只会遇到部分网站短暂无法登录，影响有限。网站运营者需升级到修复版本（PHP 8.2-8.5）、重启所有PHP进程，并为拿不到补丁的老版本安排迁移或隔离。Cloudflare的WAF规则已对全部客户默认生效，OpenAI也开源了检测Skill，可安装到Codex中检查网站是否存在php2shell漏洞。
