「PHP 是世界上最好的語言」……但 10 月 21 日夜晚，卻成了所有 PHP 運維人員的噩夢之夜。
兩天前，代號 PHP2Shell 的兩個 PHP 高危遠程執行漏洞資訊意外泄露，表明在最危險的情況下，攻擊者可以通過 PHP 的漏洞，在伺服器執行任意代碼。
漏洞「偷跑」，也倒逼 PHP 基金會在昨晚 10 點提前發布正在籌備的緊急安全補丁。
你可能聽說過但不熟悉 PHP，但只需要知道，全世界約有七成網站後台都使用了這項技術，使用比例高達 92% 的日本，更是成了「重災區」。
於是，從昨晚開始，無數網站運維人員經歷了奪命連環 call，高市早苗親自發文敦促網站管理者打補丁，半個歐洲的政府與學術機構緊急「拔網線」，二次元熟悉的 niconico、pixiv，乃至《賽馬娘》《碧藍幻想》和任天堂相關遊戲服務也紛紛下線，開始了歸期未定的漫長升級。
各位： 今晚有件極為緊急的請求，希望各位能配合處理。 許多網站使用的 PHP 語言，有關 PHP 的安全團隊已針對兩項重大漏洞發出警示。 請確認您公開的網站是否使用 PHP，並為今晚（日本時間）10 月 21 日晚間 11 時發布的修正補丁做好準備，以便盡快套用。 若難以迅速套用修正補丁，例如暫時停止網站運作等措施，亦可視為降低風險的有效方法之一。 國家網路安全統括室的 X 帳號也會發布相關資訊，敬請參考。 國家網路安全統括室(注意・警戒資訊)（@cyber_forecast） / X https://twitter.com/takaichi_sanae/status/2112890642590564386
推文翻譯內容 :
各位：
今晚有件極為緊急的請求，希望各位能配合處理。
許多網站使用的 PHP 語言，有關 PHP 的安全團隊已針對兩項重大漏洞發出警示。
請確認您公開的網站是否使用 PHP，並為今晚（日本時間）10 月 21 日晚間 11 時發布的修正補丁做好準備，以便盡快套用。
若難以迅速套用修正補丁，例如暫時停止網站運作等措施，亦可視為降低風險的有效方法之一。
國家網路安全統括室的 X 帳號也會發布相關資訊，敬請參考。
國家網路安全統括室(注意・警戒資訊)（@cyber_forecast） / X
甚至連壽司郎，也宣布小程序暫停運行，恐怕要到明天下午，我們才能重新用上小程序預約。
一場安全風暴，正在席捲全球。
PHP 出問題，全球網際網路抖一抖
和很多類似的技術一樣，PHP 是一種「不出圈」但相當重要的網際網路基礎設施。
想像你登錄一個電商網站，下單買了一本書。這個過程中你看見的只是前端的網頁，但伺服器其實在後台處理了諸如驗證密碼、檢查庫存、查詢訂單、生成網頁等動態功能。
在相當多網站上，實現這些後台工作的編程語言就是 PHP。
根據統計，目前有 69.4% 的網站後端用到了 PHP，WordPress、Drupal、Joomla 等流行的網站管理系統都建立在 PHP 之上，維基百科使用的 MediaWiki，同樣主要由 PHP 編寫。
但就像曾經種滿全球的大麥克香蕉被黃葉病團滅一樣，普遍性本身也是一種脆弱性：如果 PHP 在底層上出現安全問題，可想而知，幾乎全球的網站都會受到牽連。
這剛好就是我們目前面臨的狀況。
這次爆出的兩個漏洞，對應編號分別為 CVE-2026-109618 和 CVE-2026-109619，PHP 基金會給它們定下的嚴重程度評分達到 9.2 分（滿分 10 分）。
能拿到「高分」，自然是有相應的危險程度。
舉個不完全準確的比喻：假設 PHP 是麥當勞中央廚房，後廚工作人員會根據顯示器上的下單情況來製作餐食。而最新曝光的記憶體管理漏洞，就相當於讓黑客有機會修改顯示器內容，讓後廚給自己做出源源不斷的「自助餐」。
這裡的「自助餐」內容，可以是讓伺服器乖乖交出儲存的用戶資料，也可以是修改新聞網站的內容，或者將電商網站的收款資訊改成黑客的帳戶；進一步地，往伺服器植入勒索軟體或以此為跳板入侵更大的系統也不在話下。
只要條件合適，這些 RCE（遠程代碼執行）漏洞，幾乎可以讓黑客為所欲為。
這也是為什麼，在安裝好補丁之前，用到 PHP 的網站與服務寧願徹底下線，不給攻擊者留下可乘之機。
但官方發布補丁，也不代表萬事大吉。一方面，不是所有網站管理者都有時間、有意願去更新系統；另一方面，基建上的慣性導致目前世界上還有近半網站使用的是已經結束了支持周期的舊版 PHP，而這些舊版分支從一開始就得不到補丁。
‼️ 如果您運行的是比 8.2 更舊的分支 — 8.1、7.x 或 5.x — PHP 不會修復它。 😬 PHP 不會為您提供任何補丁。 您唯一的選擇是升級到受支援的分支、將系統從網際網路上斷開，或從您的 Linux 發行版或主機提供商那裡取得回溯移植的修復（如果他們提供的话）。 https://twitter.com/TheHackersNews/status/2112882002294943926
推文翻譯內容 :
‼️ 如果您運行的是比 8.2 更舊的分支 — 8.1、7.x 或 5.x — PHP 不會修復它。
😬 PHP 不會為您提供任何補丁。
您唯一的選擇是升級到受支援的分支、將系統從網際網路上斷開，或從您的 Linux 發行版或主機提供商那裡取得回溯移植的修復（如果他們提供的话）。
也就是說，如果不徹底升級 PHP 版本，這些網站從今天開始幾乎都是處於「裸奔」狀態。
早在補丁推送之前，思科、WatchTowr 和 360 等公司的安全團隊已經根據公開資訊復現了攻擊流程，而 Cloudflare 也開始觀察到小規模的攻擊行為。
可以預想，在主要公司密鑼緊鼓地升級的同時，還有很多潛在的攻擊者正在搜尋那些怠於維護的網站，隨時準備分食伺服器上潛藏的資源。
競速大逃殺，現在才剛剛開始。
AI 開始發掘「沉睡漏洞」
值得注意的是，根據官方復盤，這起事件中 AI 扮演了相當核心的角色。
引發這次安全風暴的漏洞，其實早在 2024 年就被發現——
當時，PHP 基金會啟動了一次外部安全審計，而在檢查審計結果時，PHP 維護團隊的成員開始注意到，在記憶體不足的情況下 PHP 會存在安全隱患。但由於沒有找到穩定可復現的攻擊方式，加上修覆核心代碼可能會影響兼容性，修復工作一拖再拖，始終沒有提上日程。
但 AI 的出現改變了一切。
今年 6 月，OpenAI 發起了一項名為「Patch the Planet」（修復星球）的安全項目，這個頗有「萬物皆可 Patch」氣質的計劃找來了多家安全公司，合作利用 AI 發現並報告開源項目的漏洞，作為開源項目的 PHP 自然也被列入研究目標。
在 AI 的助力下，不到兩個月時間，合作安全公司 Calif 研究人員就找到了利用 2024 年那個漏洞執行遠程攻擊的方式。
幾天後，另一支研究團隊 Wiz Research 也藉助 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 幾個模型，獨立發現了相同的漏洞。
根據 Wiz 的公告，PHP 這兩個漏洞堪稱「軟體歷史上最嚴重的漏洞之一」，但利用這些漏洞的複雜程度「幾乎超出了人類研究人員能夠實現的範圍」。
換句話說，PHP 這輛「老爺車」之所以能拖著嚴重的底層缺陷如常運轉，很大程度上要歸功於人類攻擊者的能力不足。但前沿 AI 賦予的智能，讓原本不可能的攻擊成為了現實。
好在，這一次安全團隊並非毫無準備——
早在 8 月發現可行的攻擊方式之後，PHP 技術團隊就將修復漏洞放到了最高優先級，聯手 OpenAI 和多家安全公司組成的聯盟秘密開發了相關補丁，因此才能在漏洞資訊偷跑後第一時間釋出補丁。
OpenAI 模型協助研究人員——作為我們 Patch the Planet 計劃的一部分——在 PHP 中發現了關鍵的安全漏洞，PHP 是一種開源程式語言，用於運行估計 70% 的網站。 在過去兩個月，我們領導了一個由維護者、研究人員和安全提供者組成的聯盟，準備修復和保護措施，以在披露之前做好準備。這個持續時間是必要的，因為修復相當複雜，需要對 PHP 引擎進行重大變更。每個使用 PHP 的網站現在都可以安全地升級他們的版本以保持安全，此外還可以應用來自各種安全供應商的緩解措施。 由於這些漏洞的嚴重性以及 PHP 的廣泛使用，我們認為這個錯誤是近期記憶中最具影響力的漏洞之一。它也標誌著一個新階段，即 AI 可以找到具有網際網路規模影響的安全錯誤。 這是 Defender’s Window 在行動中的一個例子：據我們所知，前沿 AI 能夠在攻擊者之前找到這個漏洞，為防禦者提供了準備時間。 https://twitter.com/OpenAI/status/2112907856018309586
推文翻譯內容 :
OpenAI 模型協助研究人員——作為我們 Patch the Planet 計劃的一部分——在 PHP 中發現了關鍵的安全漏洞，PHP 是一種開源程式語言，用於運行估計 70% 的網站。
在過去兩個月，我們領導了一個由維護者、研究人員和安全提供者組成的聯盟，準備修復和保護措施，以在披露之前做好準備。這個持續時間是必要的，因為修復相當複雜，需要對 PHP 引擎進行重大變更。每個使用 PHP 的網站現在都可以安全地升級他們的版本以保持安全，此外還可以應用來自各種安全供應商的緩解措施。
由於這些漏洞的嚴重性以及 PHP 的廣泛使用，我們認為這個錯誤是近期記憶中最具影響力的漏洞之一。它也標誌著一個新階段，即 AI 可以找到具有網際網路規模影響的安全錯誤。
這是 Defender’s Window 在行動中的一個例子：據我們所知，前沿 AI 能夠在攻擊者之前找到這個漏洞，為防禦者提供了準備時間。
但很顯然，沒有理由總是「正義聯盟」勝出。OpenAI 在官方部落格中也提醒：
儘管這些漏洞影響重大，但它們只是我們已經發現並正在著手修復的多個重要漏洞中的一部分，而我們預計，未來幾個月類似發現的數量將大幅增加。
電腦系統比想像中更脆弱
PHP2Shell 並不是第一次系統基建出現問題，進而影響大量互不相關的服務的事件。
從寫入電腦教科書的「千年蟲」事件，到 2014 年的 Heartbleed 漏洞、2021 年的 Log4Shell 遠程代碼執行漏洞以及 2024 年的 CrowdStrike 更新導致大規模藍白當機，每隔一段時間，現實都會用一種略帶荒誕的崩潰事件提醒我們：
電腦系統的基礎，遠比我們想像中更脆弱。
而脆弱的根源，很大程度上又可以歸結於一點，亦即：
現代電腦系統的複雜程度，遠遠超過了它在底層技術上的多樣性。
我們熟悉的網站和 app，形式上可能相差甚遠，但剝離表層，大量服務實際上依賴同一批編程語言、軟體庫、作業系統和網路協議。
維護這些基建設施的，卻往往只是一些搖搖欲墜的開源基金會。
以 PHP 基金會為例，這個為全世界 70% 網站提供技術底座的基金會，2025 年全年捐助收入共 73 萬美元，只有 11 名全職及兼職簽約開發者。他們貢獻了當年 PHP 核心代碼庫約 42% 的提交。
如果不尋找其他收入來源，僅靠這個項目能得到的收入，其實是低於美國軟體開發者收入中位數的。
客觀來說，這些事務繁忙卻收入不高的資深開發者就算直接開擺，恐怕也沒有人能苛責他們，更何況他們實際上甘願用愛發電、盡職盡責。
但即使維護團隊有意願去維護，他們也未必能夠得償所願：PHP 已經太受歡迎，以至於圍繞它形成了龐大的軟體生態，任何核心組件的改動都可能導致大量第三方插件與擴展失效。
於是，整個系統只能繼續冒著蒸汽、掉著煤渣，以一種「你不問我不說」的姿態繼續前行。
某種意義上，整個網際網路世界，就像《Viva la vida》的歌詞所說：
And I discovered that my castles stand upon pillars of salt and pillars of sand
在過去的文章里，很多讀者朋友會對 AI 廠商大肆渲染的安全敘事不置可否，更傾向於把它們歸入到營銷炒作的範疇。但只要意識到我們生活的地基有多麼脆弱，恐怕就不會那麼輕視 AI 帶來的安全風險了——
真正的危險不在於 AI，而在於我們年久失修的電腦系統基建。
PHP2Shell 事件最終會造成多大損失還有待時間給出答案，但隨著 AI 讓越來越多沉睡多年的缺陷重新暴露出來，這樣的緊急修復，恐怕也不會是最後一次。
