最新10月22日消息，今天凌晨的全球互联网迎来了史无前例的一次危机，曾经被调侃为最好的编程语言的PHP曝出2个高危漏洞，影响极大，大量政企网站不得不紧急关站停服修漏洞。

这次的漏洞代号PHP2Shell，编号为CVE-2026-109618及CVE-2026-109619，CVSS 评分高达 9.2，watchTowr 甚至给出满分10.0，属于高危漏洞了，而且隐藏了10多年，从2012年发布5.4版PHP就存在了。

根据PHP官方说法，攻击者不用登录，发特制请求就可能在服务器上执行任意代码，相当于能拿到整台服务器。

这次的漏洞是AI发现的，OpenAI称安全公司Calif早在8月就用GPT-5.6 Sol发现了漏洞，而另一家安全公司Wiz用了Gemini 4 Argon和GPT-5.6 Sol也独立发现了漏洞，OpenAI牵头协调开发者与安全公司修复。

本来PHP官方计划是22日才发布安全修复补丁，但消息提前在20日就被泄露在网上，紧急提前到21日发布修复补丁，这也引发了全球网站混乱。

甚至有很多政企网站在补丁发布之前不得不临时下线关站来防止攻击，芬兰政府多个网站（包括国家土地测量局）、法国政府网站、荷兰网络安全中心官网、鹿特丹港网站等已临时下线避险。

这次影响范围有多大？PHP相当于全球互联网的核心基建了，估计70%的网站都在用它构建，包括很出名的WordPress、Drupal、Magento等。

安全公司Palo Alto Networks的Cortex Xpanse通过遥测数据识别出超过2260万公网暴露的、可能受影响的PHP实例。

独立安全研究员估算有超过130万至190万台公网运行PHP的主机存在潜在风险，因此整体的影响极大，是否中招可以用这个网址来检测下。

这个漏洞影响大到日本首相都罕见地在网上发帖，用重大事件来形容这次的危机，呼吁网站管理者今晚就处理。

具体怎么修复呢？PHP官方10月21日紧急发布8.5.12、8.4.27、8.3.36、8.2.35补丁，然而问题在于官方维护的只有8.1之后的版本，此前的版本还有大量用户在用，这些网站或者论坛就暴露在风险中了。

这些网站也不只是个人用户，有大量政企网站的旧版本不是想升级就能升级的，这也是前面提到的很多欧洲政府网站只能关站停服的原因，在没有好的解决办法之前只能关站避险。

虽然PHP的这两个漏洞是安全领域这两天最大的雷，但它们还不是唯一的，这几天暴雷的安全事件还有很多，另一个基建项目Node.js被发现了10个漏洞，其中4个高危级别。

此外印度的CA证书机构也曝出了极为脑残的安全问题，把4作为证书密钥，原本应该是70多位，这样的弱智密码在黑客面前就是儿戏一样，幸好Chrome和FireFox反应够快，几个小时内就拉黑了印度机构的8个证书。