AI怪盗图10月22日消息，今天凌晨，全球互联网遭遇了一场史无前例的安全危机。曾被戏称为“最好的编程语言”的PHP，突然曝出两个高危漏洞，导致大量政企网站紧急关站停服，连夜修补漏洞。
这次漏洞代号为PHP2Shell，编号分别为CVE-2026-109618和CVE-2026-109619，CVSS评分高达9.2，watchTowr甚至给出了满分10.0的评估，属于极其严重的安全漏洞。令人震惊的是，这两个漏洞已经潜伏了超过十年，自2012年PHP 5.4版本发布之日起便一直存在。
根据PHP官方的说明，攻击者无需登录，只需发送精心构造的特制请求，便有可能在服务器上执行任意代码，相当于直接获取整台服务器的控制权。这种“远程代码执行”漏洞的破坏力极大，意味着任何存在漏洞的网站都可能被完全攻陷，数据泄露、植入后门等风险随之而来。
值得一提的是，这次漏洞是由人工智能技术发现的。OpenAI称，安全公司Calif早在8月就利用GPT-5.6 Sol检测到了该漏洞，而另一家安全公司Wiz则使用了Gemini 4 Argon和GPT-5.6 Sol独立发现了相同的问题。最终由OpenAI牵头，协调开发者与相关安全公司共同完成了修复工作。
原本PHP官方计划于10月22日才发布安全修复补丁，但消息却在20日被提前泄露到网上，导致全球网站陷入混乱。官方不得不在21日紧急提前发布补丁，即便如此，仍有大量网站在补丁发布之前被迫临时下线，以防遭到攻击。芬兰政府多个网站（包括国家土地测量局）、法国政府网站、荷兰网络安全中心官网、鹿特丹港网站等均已临时关闭避险。
这次漏洞的影响范围究竟有多大？PHP堪称全球互联网的核心基础设施，据统计，大约70%的网站都基于PHP构建，包括我们熟知的WordPress、Drupal、Magento等主流内容管理系统和电商平台。安全公司Palo Alto Networks旗下的Cortex Xpanse通过遥测数据识别出超过2260万个公网暴露的、可能受影响的PHP实例；独立安全研究员则估算约有130万至190万台公网运行PHP的主机存在潜在风险。如此庞大的基数，意味着任何一家使用PHP的网站都可能成为攻击目标。用户可以通过这个检测链接快速确认自己的站点是否受影响。
这个漏洞的影响力甚至惊动了日本首相。他在社交媒体上罕见地发帖，用“重大事件”来形容这次危机，并强烈呼吁网站管理者当晚立即处理。从国家领导人层面发出警告，足以看出此次漏洞的严重性和紧迫性。
那么具体该如何修复？PHP官方已于10月21日紧急发布了8.5.12、8.4.27、8.3.36、8.2.35等版本的补丁。但问题在于，官方目前仅维护8.1及之后的版本，而此前的大量旧版本仍有大量用户在使用。这些网站或论坛，尤其是众多政企网站，由于系统兼容性、业务连续性等原因，根本不可能在短时间内完成升级。这也解释了为什么前面提到的许多欧洲政府网站只能选择关站停服——在没有妥善修复方案之前，关站反而是最稳妥的避险手段。
从技术角度看，PHP的这两个漏洞之所以被称为“核弹级”，是因为它们利用了PHP底层处理请求时的逻辑缺陷，使得攻击者可以绕过所有认证和权限检查。而AI在发现此类隐藏逻辑漏洞方面展现出了惊人效率——传统人工代码审计往往需要数月甚至数年才能发现的漏洞，AI仅用数周便完成定位。这种趋势也引发了行业对“AI与网络安全攻防”的新一轮思考。
值得一提的是，PHP的安全漏洞并非近期唯一的风暴。另一个互联网基础设施项目Node.js也被曝出10个漏洞，其中4个达到高危级别。更令人哭笑不得的是，印度某CA证书机构竟然将“4”作为证书密钥（理论上应为70多位长密钥），如此弱智的安全配置在黑客面前形同虚设。幸好Chrome和FireFox反应足够迅速，几小时内便拉黑了该机构的8个证书，避免了更大规模的安全事件。
