OpenAI 发现 PHP「世纪漏洞」，全球 70% 网站都危险了
内容提要
PHP高危远程执行漏洞PHP2Shell意外泄露，基金会于10月21日提前发布紧急补丁。全球约七成网站依赖PHP，日本受影响尤重，大量网站与服务紧急下线。该漏洞早在2024年已被发现，AI助力安全团队找到可行攻击方式，凸显老旧开源基建的脆弱。
延伸解读
漏洞泄露倒逼紧急补丁，但旧版PHP仍无保护
PHP2Shell漏洞信息意外泄露，迫使PHP基金会提前发布补丁。然而，文章指出全球近半网站仍在使用已结束支持周期的旧版PHP，这些版本从一开始就得不到补丁。这意味着即使官方补丁已出，大量网站仍处于“裸奔”状态。网站管理者需检查所用PHP版本是否在支持范围内，否则仅打补丁可能无效，必须彻底升级版本。
AI降低攻击门槛，沉睡漏洞被重新激活
该漏洞早在2024年已被发现，但因缺乏稳定复现的攻击方式且修复可能影响兼容性而被搁置。AI安全项目“Patch the Planet”推动下，研究团队在不到两个月内找到了可行攻击方式。文章强调，漏洞利用复杂度“几乎超出人类研究人员能力范围”，AI让原本不可能的攻击成为现实。这提示读者，AI正加速发现老旧开源基建中的深层缺陷，未来类似事件可能增多。
开源基建维护资源薄弱，普遍性即脆弱性
PHP支撑全球约七成网站，但PHP基金会2025年全年捐助收入仅73万美元，只有11名全职及兼职开发者，贡献了核心代码库约42%的提交。文章指出，维护这些基建设施的往往是“摇摇欲坠的开源基金会”，且PHP生态庞大，任何核心改动都可能导致第三方插件失效。这种资源与责任的不匹配，使得底层缺陷难以被及时修复，普遍性本身成为脆弱性的来源。
Q&A
PHP2Shell 漏洞是什么？它的危险程度有多高？
PHP2Shell 是代号为 CVE-2026-109618 和 CVE-2026-109619 的两个 PHP 高危远程执行漏洞，严重程度评分达 9.2 分（满分 10 分）。攻击者可在最危险情况下通过漏洞在服务器执行任意代码，例如窃取用户资料、篡改网站内容、替换收款账户，甚至植入勒索软件或以此为跳板入侵更大系统。
为什么 PHP 的一个漏洞会影响全球大量网站？
因为 PHP 是互联网关键基础设施，全球约 69.4% 的网站后端使用 PHP，WordPress、Drupal、Joomla 等流行建站系统以及维基百科的 MediaWiki 都基于 PHP。这种普遍性本身带来脆弱性：底层一旦出现安全问题，几乎所有依赖它的网站都会受牵连。
这个漏洞早在 2024 年就被发现，为什么直到现在才修复？
2024 年 PHP 基金会外部安全审计时已注意到内存不足情况下的安全隐患，但当时没有找到稳定可复现的攻击方式，且修复核心代码可能影响兼容性，因此修复被搁置。直到 2025 年 6 月 OpenAI 发起“Patch the Planet”项目，AI 助力安全团队在不到两个月内找到可行攻击方式，修复才被提上最高优先级并秘密开发补丁。
漏洞信息泄露后，PHP 官方和受影响方采取了哪些应急措施？
漏洞信息意外泄露后，PHP 基金会在 10 月 21 日晚 10 点提前发布紧急安全补丁。大量网站与服务在安装补丁前选择彻底下线，包括欧洲多国政府与学术机构、niconico、pixiv、《赛马娘》《碧蓝幻想》和任天堂相关游戏服务，以及寿司郎小程序等。日本官员高市早苗也发文敦促网站管理者打补丁。
即使官方发布了补丁，为什么很多网站仍然面临风险？
一方面，并非所有网站管理者都有时间或意愿更新系统；另一方面，目前世界上仍有近半网站使用已结束支持周期的旧版 PHP，这些旧版分支从一开始就得不到补丁。如果不彻底升级 PHP 版本，这些网站将处于“裸奔”状态，随时可能被攻击者利用。
PHP2Shell 事件反映出计算机系统基建存在什么深层问题？
事件反映出计算机系统底层远比想象中脆弱：现代系统复杂程度远超底层技术多样性，大量服务依赖同一批编程语言、软件库和操作系统，而维护这些基础设施的往往是资金和人力有限的开源基金会。例如 PHP 基金会 2025 年捐助收入仅 73 万美元，只有 11 名全职及兼职签约开发者，却支撑全球约七成网站。AI 让更多沉睡漏洞暴露，类似紧急修复可能不会是最后一次。
