PHP 曝出代号 PHP2Shell 两大高危漏洞 CVE‑2026‑109618、CVE‑2026‑109619，CVSS 评分最高满分 10 分，漏洞潜伏十余年，攻击者无需登录就能远程执行任意代码，全球约 70% 网站受波及，运维人员需尽快打补丁修复。
本次漏洞由 AI 安全工具发现，安全公司 Calif 借助 GPT‑5.6 Sol 在 8 月率先挖掘漏洞，Wiz 安全公司使用 Gemini 4 Argon、GPT‑5.6 Sol 也独立复现漏洞，OpenAI 牵头协调安全厂商、PHP 官方开展漏洞修复工作。
原本 PHP 官方计划 10 月 22 日正式推送安全补丁，但是漏洞细节在 10 月 20 日提前泄露，官方紧急将补丁发布时间提前至 10 月 21 日，漏洞信息外泄导致网络上快速出现攻击尝试，全球网站陷入紧张抢修局面。
PHP 作为互联网底层核心基建，全球约 70% 网站基于 PHP 开发，包含 WordPress、Drupal、Magento 等主流建站系统。安全厂商遥测数据统计，公网暴露受潜在影响 PHP 实例超 2260 万个，风险主机数量预估 130 万‑190 万台，覆盖企业官网、政府门户、电商、论坛等各类 Web 业务。
PHP 官方已于 10 月 21 日紧急发布修复版本：8.5.12、8.4.27、8.3.36、8.2.35。但需要注意，官方仅维护 PHP8.1 及以上版本，大量还在运行 PHP8.1 以下老旧版本的政企、网站系统，没有官方补丁可以升级，很多业务受业务代码兼容限制，无法直接升级 PHP 版本，这也是大量欧洲政府网站只能选择关站停机的核心原因，老旧 PHP 环境面临严峻安全威胁。
除 PHP2Shell 重大漏洞之外，近期网络安全领域集中爆发多起高危安全事件。Node.js 曝出 10 处漏洞，其中 4 个高危漏洞；印度 CA 证书机构爆出低级安全事故，证书密钥使用极简单密钥，Chrome、Firefox 浏览器迅速拉黑 8 份问题证书，防止中间人攻击风险接连上演，网络基础设施安全风险集中显现。
运维修复建议
1、PHP8.2‑8.5 版本环境：优先升级至官方安全补丁版本 8.2.35、8.3.36、8.4.27、8.5.12，升级前做好业务完整备份；
2、PHP8.1 及以下老旧版本：无官方补丁，优先评估业务迁移升级可行性，无法升级建议临时限制公网访问、下线业务，配置 WAF 防护规则缓解风险；
3、使用漏洞检测工具对业务服务器开展自查，确认是否存在 PHP2Shell 漏洞风险；
4、持续监控服务器访问日志，排查是否存在异常攻击行为，做好入侵应急响应预案。
