全球约70%的网站正面临PHP高危漏洞PHP2Shell的严重安全威胁，该事件于2026年10月21日正式曝光，已引发全球多国紧急安全预警。
🔍 事件核心背景
- 此次曝光的是两个PHP底层内存管理高危远程代码执行漏洞，编号为CVE-2026-109618和CVE-2026-109619，严重程度评分达9.2分（满分10分），被安全社区统称为PHP2Shell。
- PHP作为主流服务器端脚本语言，支撑全球约70%的网站运行，覆盖WordPress等主流建站系统，涉及超3300万个网站，日本地区PHP网站占比更是高达92%。
- 漏洞由AI技术辅助发现，相关隐患最早在2024年就已被观测到，因未找到稳定利用路径长期未修复，2026年8月借助OpenAI前沿模型才完成完整攻击路径复现。
⚠️ 漏洞危害与影响
- 攻击者无需身份验证，只需发送特制请求即可触发漏洞，直接获取网站服务器控制权，窃取敏感数据、篡改页面或植入恶意代码。
- 漏洞公开后，黑客攻击尝试从数千次骤升至数百万次，目前已有多家安全厂商复现完整攻击流程，针对未打补丁网站的扫描和入侵正在快速扩散。
- 芬兰、德国、英国、日本等多国政府机构网站紧急下线防护，维基百科部分系统、BBC部分节目页面、日本多家互联网服务一度暂停访问，美国国家安全局建议无法及时修复的机构直接将系统离线。
🛡️ 官方防护指引
- 漏洞影响范围覆盖PHP 8.5.x＜8.5.12、PHP 8.4.x＜8.4.27、PHP 8.3.x＜8.3.36、PHP 8.2.x＜8.2.35及所有8.1之前的旧版本。
- PHP官方已发布对应安全补丁，工信部网络安全威胁和漏洞信息共享平台也发布风险提示，要求相关单位立即排查，将PHP升级至最新安全版本。
- 近半数网站仍在使用已停止官方支持的旧版PHP，这类网站无法获得官方补丁，需立即采取网络隔离、限制外部访问等临时防护措施。