快科技 10 月 22 日消息，今天凌晨的全球互联网迎来了史无前例的一次危机，曾经被调侃为最好的编程语言的 PHP 曝出 2 个高危漏洞，影响极大，大量政企网站不得不紧急关站停服修漏洞。

这次的漏洞代号 PHP2Shell，编号为 CVE-2026-109618 及 CVE-2026-109619，CVSS 评分高达 9.2，watchTowr 甚至给出满分 10.0，属于高危漏洞了，而且隐藏了 10 多年，从 2012 年发布 5.4 版 PHP 就存在了。

根据 PHP 官方说法，攻击者不用登录，发特制请求就可能在服务器上执行任意代码，相当于能拿到整台服务器。

这次的漏洞是 AI 发现的，OpenAI 称安全公司 Calif 早在 8 月就用 GPT-5.6 Sol 发现了漏洞，而另一家安全公司 Wiz 用了 Gemini 4 Argon 和 GPT-5.6 Sol 也独立发现了漏洞，OpenAI 牵头协调开发者与安全公司修复。

本来 PHP 官方计划是 22 日才发布安全修复补丁，但消息提前在 20 日就被泄露在网上，紧急提前到 21 日发布修复补丁，这也引发了全球网站混乱。

甚至有很多政企网站在补丁发布之前不得不临时下线关站来防止攻击，芬兰政府多个网站（包括国家土地测量局）、法国政府网站、荷兰网络安全中心官网、鹿特丹港网站等已临时下线避险。

这次影响范围有多大？PHP 相当于全球互联网的核心基建了，估计 70% 的网站都在用它构建，包括很出名的 WordPress、Drupal、Magento 等。

安全公司 Palo Alto Networks 的 Cortex Xpanse 通过遥测数据识别出超过 2260 万公网暴露的、可能受影响的 PHP 实例。

独立安全研究员估算有超过 130 万至 190 万台公网运行 PHP 的主机存在潜在风险，因此整体的影响极大，是否中招可以用这个网址来检测下。

这个漏洞影响大到日本首相都罕见地在网上发帖，用重大事件来形容这次的危机，呼吁网站管理者今晚就处理。

具体怎么修复呢？PHP 官方 10 月 21 日紧急发布 8.5.12、8.4.27、8.3.36、8.2.35 补丁，然而问题在于官方维护的只有 8.1 之后的版本，此前的版本还有大量用户在用，这些网站或者论坛就暴露在风险中了。

这些网站也不只是个人用户，有大量政企网站的旧版本不是想升级就能升级的，这也是前面提到的很多欧洲政府网站只能关站停服的原因，在没有好的解决办法之前只能关站避险。

虽然 PHP 的这两个漏洞是安全领域这两天最大的雷，但它们还不是唯一的，这几天暴雷的安全事件还有很多，另一个基建项目 Node.js 被发现了 10 个漏洞，其中 4 个高危级别。

此外印度的 CA 证书机构也曝出了极为脑残的安全问题，把 4 作为证书密钥，原本应该是 70 多位，这样的弱智密码在黑客面前就是儿戏一样，幸好 Chrome 和 FireFox 反应够快，几个小时内就拉黑了印度机构的 8 个证书。