登录
10月21日夜里，全球互联网一起加了个班。PHP官方紧急发布8.5.12、8.4.27、8.3.36和8.2.35四个安全版本，修复被安全圈合称"PHP2Shell"的两项严重漏洞。 最严重的情况下，攻击者无需登录即可在服务器上执行代码，两个漏洞的危险评分都达到了9.2分的最高优先级范围。 对普通用户，先把最重要的结论说清楚：这是服务器端的漏洞，你的手机和电脑不需要为此打任何补丁；这次事件你能实际感受到的，是网站关停和维护潮，真正要提防的，是蹭热点的假补丁钓鱼。36氪36氪
"70%网站面临风险"这个数字有明确口径。市场研究机构W3Techs口径下，PHP驱动约70%的已知服务端语言网站，仅WordPress就支撑着全球约43%的站点。 也就是说，"七成"统计的是能识别出服务端语言的网站，且风险落在网站服务器一侧，而不是访问者的设备上。知乎
说它"世纪漏洞"不夸张：洞潜伏二十多年，AI跑完最后一里路
两个漏洞都出在每个请求都要经过的内存管理层，与网站自身代码写得好不好无关。在风险最高的Apache mod_php部署里，攻击者不需要登录网站，就可能通过特制请求触发漏洞，甚至不需要等到网站的业务代码开始运行。 一旦得手，攻击者可借此读取服务器进程内存里的密码、登录令牌、API密钥和证书。36氪知乎
称它"世纪漏洞"，是因为洞不是昨天才出现的：2004年，安全研究员Stefan Esser就曾发现PHP内存限制机制中的远程代码执行漏洞；2020年有人提交相关bug报告，几乎无人理会；2024年，PHP核心开发者已在理论上推演过可利用性，却因修复会破坏兼容、损害性能而长期停滞。 AI改变的是最后一段：在OpenAI今年6月启动的"Patch the Planet"开源安全计划下，安全公司Calif借助GPT-5.6Sol找到了关键缺陷，谷歌旗下Wiz也独立发现并上报了这两个漏洞。 Wiz在报告里给出过一个更具代表性的判断：过去这项工作可能需要一支顶尖安全团队投入数月，如今借助前沿AI模型与适当的研究工具，一名研究人员在一周内就可能完成类似任务。 需要说清的是，模型并不是无人监督地独立发现漏洞——人靠历史经验定方向、负责验证，AI把"证明可利用"的成本打了下来。过去大量老漏洞靠"攻击者懒得打"保平安，这条从没写进教科书的隐形规则正在失效。36氪36氪36氪
政府宁可停摆也要下线：防御窗口被一次泄密压到几小时
这次行动的烈度，一半来自披露节奏。漏洞原本处于保密期，原定10月22日发布补丁，但20日消息先在论坛流传、演示视频又被误发，PHP官方被迫把补丁提前到21日；Cloudflare在补丁发布前近六小时就观测到早期攻击——原本两个多月的"防御者窗口"，被压缩到几个小时。36氪
随后的画面罕见：芬兰关停了政府对外网络服务，荷兰国家网络安全中心官网预防性下线，荷兰、芬兰部分政府站点停摆，法国CNIL关闭站点，日本的BASE、pixiv、Niconico进入紧急维护。 美国国家安全局进一步表示，这些漏洞非常严重，如果网站无法立即修复，则应将其下线，直到修复完成。 国内的响应同样迅速：工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）发布紧急提示，建议相关单位和用户立即排查并升级至最新安全版本。 用户感觉到的"网站一夜打不开"，是机构在抢时间，而不是网站已经被黑。知乎36氪知乎
对普通上网的人：两类身份，两种动作
截至10月21日，没有任何已确认的被入侵受害者、泄露数据量或损失金额，公开信息只有"预防性下线"和攻击流量的观测。 但"现在没被打"不等于"没有影响"，分两种人看。纯访客没有需要自己修的东西——漏洞在网站服务器上，与你手机、电脑的系统更新无关；短期能感知的是部分网站关停、变慢或暂停功能。要警惕的是伴随大事必来的钓鱼：安全机构提示，此次漏洞曝光可能引发网络诈骗和网络钓鱼攻击的激增，邮件、短信里"帮你修复PHP漏洞"的链接一律别点，也别在陌生页面输入账号密码。 若常用网站事后通报曾遭入侵，按官方通知改密即可。知乎知乎
自己运营网站的人（博客、小店、VPS上的站）这次真的和你有关。先确认服务器PHP已升到官方修复版本——PHP官方同时明确，没有完整的缓解措施，唯一的安全做法就是立即升级。 用虚拟主机的向服务商确认修复进度，阿里云、腾讯云等云平台已在事件曝光后发出紧急警告，要求客户尽快完成版本升级。36氪知乎
跑WordPress的要记住：每个WordPress站点都跑在PHP服务器上，但站点的自动更新不会修PHP这一层，插件更完不等于安全。 来不及升级的，照我国工信部NVDB提示的优先级做临时处置：暂时下线、关闭会话上传进度功能、网络隔离或访问限制，并在恢复后及时更换账号、口令和密钥等凭证。知乎知乎
更麻烦的是，还有一大批站点根本"无洞可补"：在已披露版本的约103万台暴露PHP服务器中，超七成（73.6%）运行在早已停止官方支持的PHP 5.4–8.1分支，等不来成品补丁，只能靠发行版、云厂商渠道升级或彻底迁移。知乎
比修好这两个洞更重要的信号在后面：OpenAI称这轮PHP暴雷只是已发现、正修复的众多重大漏洞的一部分，预计未来几个月内类似的漏洞数量将急剧增加。 这并非恫吓——前一天发布的Chrome 156正式版，一个版本就修复了353个安全漏洞。 而下一场风暴未必会再等两年：PHP 8.2分支的安全支持将于2026年12月31日结束，仍停在8.2的企业只剩约两个月缓冲。 AI时代攻防的胜负手，已经从"谁先发现漏洞"变成"谁先打上补丁"。36氪36氪知乎
