Back to topic rankings席卷全球！仅今天晚上，多个国家领导人、政府网络安全部门、AI 公司，纷纷就 PHP 编程语言重大漏洞紧急发文，包括芬兰、荷兰和法国在内，已将政府网站紧急下线。
而原因是今天 PHP，爆出两个超高危漏洞，合称 PHP2Shell，还是研究员借助 AI 发现的。黑客不用登录，发一个请求就可能控制整台网站服务器。
他们能通过这个漏洞，在你家用 PHP 搞的网站上，装木马、偷数据，甚至能把网站搞瘫。
据估算，暴露在互联网上的 PHP 服务器，已超 510 万台。
所以现在的情况是，PHP 团队紧急更新了补丁，要求所有人立刻马上升级。
而 CDN 厂商 Cloudflare 的 CTO 也说，已经看到有早期攻击现象出现。
英国国家网络安全中心 NCSC 也建议，补不了的系统先下线，欧洲有不少网站因此停掉。 照这个速度发展下去，OpenAI和Anthropic啥也不用碰，光自己的模型和agent在全世界到处读代码找安全漏洞，就成了全世界第三大武器了，仅次于密密麻麻的无人机和原子弹了。 明天网络安全，AI 安全��类的股票将满屏涨停。 因为很多日本传统企业的IT support、devops是真不上网看圈外新闻，不看英文新闻和社区，也完全不管安全，任何新闻完完全全不关心。
如果高市早苗不提一句，他们能一直装傻充愣到几个月以后被真正攻击一次。
这种企业放在20年前，就应该老老实实用微软和oracle的技术，有问题直接推送更新， 服务商和外包直接线下一封封邮件发过去，甚至直接人工一个个打电话、发传真过去，告诉他们事情的紧急性，安排他们两周内开个会，帮他们手把手上门升级。
对于这些日本传统企业而言，这才是最安全、最正确、最及时的处理方式。
现在让他们碰上php这坨史诗级开源大屎山，反而是害了他们，因为相当一部分企业不用外包，自己员工又是大水逼，没有人能接受信息和承担责任了。 完蛋了，全球56%的互联网今晚可能会被打穿….
刚看到群里在传PHP2Shell的消息，PHP发出严重漏洞预警，计划于今晚22点发布安全更新。
查了一下，PHP官方确实已经发了预告：这次将修复两个CVSS v4.0评分均为9.2的严重漏洞，提醒所有PHP用户提前做好升级准备。
公开预警列出的漏洞编号sCVE-2026-109618和CVE-2026-109619。根据CERT-EU的公告，漏洞可能导致远程代码执行，潜在影响范围覆盖PHP5及以后的版本。
具体哪些版本、哪些部署条件受影响，还要等官方公布完整细节。
更麻烦的是旧系统。目前PHP官方支持的稳定分支是8.2、8.3、8.4和8.5，8.1及以下版本已经结束官方支持。还在维护这些系统的团队，需要尽快确认自己的修复渠道和升级方案。
有PHP业务的朋友，建议现在就确认运行版本和更新渠道，准备在修复发布后尽快部署。
对于暂时无法修复的对外服务，CERT-EU建议考虑先隔离公网访问。
PHP 曝两个免登录就能接管服务器的漏洞，AI 参与发现，所有 PHP 网站要马上升级
PHP 官方 10 月 21 日紧急发布 8.5.12、8.4.27、8.3.36、8.2.35，修补两个严重漏洞（CVE-2026-109618、CVE-2026-109619，研究者叫它 PHP2Shell）。按 PHP 官方的说法，攻击者不用登录，发特制请求就可能在服务器上执行任意代码，等于拿到整台服务器。WordPress、Drupal、Magento 都跑在 PHP 上，OpenAI 引用的估算是约 70% 的网站在用它。
【我的 PHP 网站受影响吗】
基本都在范围内。PHP 官方说，凡是对外处理网页请求的 PHP 都有风险，PHP-FPM、Apache mod_php、LiteSpeed 等常见跑法全包括，mod_php 风险最高。按 Wiz 和 Sansec 的说法，2012 年发布的 PHP 5.4 以来的版本都受影响。
问题出在 PHP 引擎本身，好比大楼门锁坏了，你家装修得再好也没用。Wiz 和 Calif 已在最新版 WordPress、Drupal、Laravel 等上演示了免登录攻击。
【现在该做什么】
自己管服务器的：立刻升级到上面四个版本之一。PHP 8.1 及更早版本官方已停止维护，只给了 7.4、8.0、8.1 的源码补丁；用 Ubuntu、Debian 等发行版自带 PHP 的，看发行版的安全更新。
用虚拟主机、托管 WordPress 的普通站长：PHP 由主机商管，装插件、改网站代码都修不了。去控制面板看 PHP 版本，或直接问主机商补了没有。
PHP 官方给的临时配置只能降低风险，官方明确说升级才是唯一完整的办法。Cloudflare 给所有用户（含免费版）上了拦截规则，但它自己也说只是临时挡一下，而且只管经过 Cloudflare 的流量，攻击者绕开它直连服务器就挡不住。
【AI 立了什么功】
OpenAI 说，安全公司 Calif 在它的 Patch the Planet 计划里用 GPT-5.6 Sol 找到漏洞。据 Sansec 整理的时间线，Calif 8 月 11 日就报给了 PHP；Wiz 也��立发现并上报，用的是 Gemini 4 Argon 和 GPT-5.6 Sol 等工具。OpenAI 称两个月来牵头协调维护者和安全厂商准备修复，认为这是近年影响最大的漏洞之一，也是 AI 抢在攻击者前面发现漏洞的例子。
【提前泄露了吗】
属实。漏洞原定 10 月 22 日公开，20 日有人在 Hacker News 发帖提前曝光，帖子删了但截图已传开，PHP 官方随即把发布提前到 21 日。
攻击已经开始。Cloudflare CTO 在补丁发布前几小时就说看到早期攻击；安全公司 watchTowr 说已有人用 AI 辅助写的工具发起攻击，"目前还没人成功，但不会太久"。荷兰政府的 DigiD 等网站先自行下线避险。
PHP 官方公告：https://t.co/UZYhjf3CWO
OpenAI 原文：https://t.co/jKdbrEaMB8
Wiz 技术说明：https://t.co/SrODSYiXOv 因严重安全漏洞，PHP团队紧急推出更新填补漏洞。技术细节在补丁发布前已部分泄露，并出现了名为PHP2Shell的利用工具讨论和早期攻击迹象（Cloudflare 等已观察到）。欧洲及其他地区多个政府网站周三被迫下线，网站运营商紧急采取措施保护系统安全。
目前PHP语言驱动了互联网上大量网站（估计约 70% 已知服务器端语言的网站使用PHP，WordPress单独就占相当大比例）。几乎所有基于WordPress、Drupal、Joomla、Magento、Laravel、Symfony等的站点，只要运行未打补丁的PHP，都可能被直接打穿。
有没有把所有安全漏洞都凑齐的倒霉蛋？
想象一下，你的网站部署在 Linux 上，前面挂着 nginx，后端 Go + PHP + Node.js 全用上了，HTTPS 证书还偏偏用了 eMudhra 的问题证书链。
这直接喜提安全漏洞全家桶：
PHP 紧急修复两个严重漏洞，Node.js 一口气修了 10 个，nginx 刚修完 5 个，Go 更新证书信任校验，eMudhra 的 CA 证书又被浏览器拉黑。
从操作系统到 Web 服务，再到 HTTPS 证书，层层都有惊喜。
有没有人这套配置全中？今晚得修到几点？😂 此 POC 在 8.2.35 和 8.5.12 上依旧可用
PHP 你修了什么？
#草台班子 难绷…..高市早苗个人网站已被拿下 https://t.co/8ORPgQgtJ3
TechControversialAll-time data
PHP补丁有效性质疑与日本网站安全风险讨论
中文X的PHP安全讨论新增补丁有效性质疑，并伴随日本企业运维、网站遇袭说法及安全概念股预期。奶昔称，同一POC在PHP 8.2.35和8.5.12上依旧可用，质疑补丁效果，但未展示代码、运行环境或复现过程。立党批评部分日本传统企业的IT运维人员忽视安全新闻，并认为依赖厂商推送更新更适合这些企业。Max For AI另称高市早苗个人网站“已被拿下”，但未提供技术证据，不能确认其与PHP漏洞存在关联。拖拉机则预测网络安全、AI安全类股票次日涨停。现有材料不足以确认补丁失效、网站失陷原因或漏洞影响范围，相关股价判断也不构成行情事实。
#PHP#安全补丁#POC#日本网站安全#网络安全
Topic heat
1076
Posts
10
Views
37.0万
Creators
8
Topic trend
From first appearance to last update, with a seven-day minimum window.
All related posts
10 posts in total
