登录
去年10月下旬，全球互联网上演了罕见的"集体拔网线"：pixiv、Niconico和大量游戏官方站点停站维护，《最终幻想14》国服登录异常，各国政府网站连夜挂公告。连日本首相高市早苗都亲自发帖催全网打补丁。凶手是PHP——这门被程序员嘲了二十年的"老古董"语言，撑着全球约七成网站、超3300万个站点。知乎微博36氪36氪
一个"不至于"的老Bug，怎么就成了RCE
引爆点叫PHP2Shell——两个内存安全漏洞，编号CVE-2026-109618和CVE-2026-109619，CVSS评分拉满到9.2。危险在于未经身份验证的远程代码执行：在Apache mod_php默认配置下，攻击者不用登录，一个特制请求就可能直接拿下服务器，轻则篡改网页、窃取数据，重则整站瘫痪。36氪微博
真正扎心的是它的身世。这个内存耗尽处理的缺陷，PHP核心开发者2024年审计时就已发现，2020年就有人报告过相关问题，线索甚至能追溯到2004年。但没有明确攻击路径，修复又牵动兼容性、性能和庞大的扩展生态，于是反复启动又搁置——PHP基金会后来在复盘文章里，将这次拖延称为一次"结构性失败"。36氪
转折发生在今年8月：安全公司Calif带着GPT-5.6Sol，谷歌旗下Wiz用Gemini 4 Argon加自家安全智能体，在几天内把没人修的老问题挖成了完整的RCE攻击链，并分别于8月11日、8月24日上报。10月21日，PHP官方紧急发布四个修复版本。美国NSA给出过狠但正确的建议：修不了？先把网站下线。36氪微博
需要泼一句冷水：OpenAI官方说得很清楚，AI只是工具，发现漏洞的是人。别信"ChatGPT一夜单挑全球互联网"的爽文，但结论依然成立——"存在感低所以安全"的时代结束了。36氪36氪
更离谱的是"手滑"
同一场风波里还有个荒诞配角：印度CA机构eMudhra把证书私钥的随机数做成了穷举最多255次就能拿到的程度，其中一个私钥干脆就是数字"4"。评论区网友还扒出，其内部系统早在2025年5月就出现过CRL无效签名异常，预警被无视了。Chrome、Firefox、苹果随后在系统层面移除其证书信任，但大量不热更新、不管控的物联网设备和老服务器，只能继续裸奔。知乎
程序员现在该干什么
自查：`php -v`看版本，确认是mod_php还是PHP-FPM，WordPress、Drupal站点连同插件一起更新；
该打就打：升到官方修复版（如8.4.27），别等"下次发版顺便带"；
修不了就下线：NSA的原话是网站无法立即修复就应下线，直到修复完成，翻译成黑话就是——最安全的网站，是暂时不存在的网站。36氪
重排你的待办：每一个"理论上可能有问题但没证据"的老Bug，在AI辅助挖洞的今天，都应按待武器化资产重新评估优先级。
正如安全公司Tolmo的AI安全研究负责人Matt Suiche所说：“过去40年里由人类编写的所有遗留软件，其潜藏的Bug正在逐渐暴露出来。现在，是时候偿还这些技术债了”。你的TODO列表里那个躺了两年的Bug，也许哪天不是被修复，而是被别人"发现"。36氪
