昨晚，一場圍繞廣泛使用的編程語言PHP的全球性網路安全事件驟然爆發。由於PHP核心被披露存在兩個可導致未授權遠程代碼執行的極危漏洞，歐洲、北美、亞太多個國家和地區的政府網站、公共服務平台及大量商業網站紛紛採取預防性下線措施，以規避潛在的大規模攻擊。
此次下線的範圍之廣，在近年來的單一軟體漏洞事件中極為罕見。在歐洲，荷蘭成為受影響最深的地區之一：國家網路安全中心自身網站下線，鹿特丹港、政府門戶Overheid.nl、五大政黨網站以及多家醫院網站同時離線。丹麥、法國、芬蘭、德國、比利時等國政府機構也採取了類似行動，法國地方省政府網站及巴黎警察局網站在國家網路安全 agency 的要求下暫停訪問。
衝擊波同樣抵達商業與民間領域。日本遊戲與娛樂產業大面積中招，SEGA、CAPCOM、萬代南夢宮、Cygames、Bushiroad等公司官網及《賽馬娘》《闇影詩章 ：凌越世界》等服務進入緊急維護狀態。4chan、Niconico、DeviantArt、OBS Project以及維基媒體基金會旗下部分系統也相繼離線或受限。
此次涉及的兩個漏洞編號為CVE-2026-109618與CVE-2026-109619，CVSS v4.0評分均為9.2，屬於極危級別。兩者性質不同但後果相似：CVE-2026-109618涉及內存耗盡（out-of-memory）處理過程中的內存破壞，CVE-2026-109619則是一種釋放後使用（use-after-free）缺陷，源於請求之間殘留的內部狀態被錯誤復用。攻擊者無需任何身份驗證即可利用這些缺陷在伺服器上執行任意代碼，進而導致Web伺服器失陷、頁面篡改、敏感數據泄露，甚至以內網節點為跳板進行橫向滲透。
W3Techs的數據顯示，在可識別編程語言的網站中，PHP驅動了約75% 的站點;僅WordPress一家就支撐著全球約43%的網站。全球政府網站集體下線避險。
