cherry 10 月 21 日晚，代号 PHP2Shell 的两个 PHP 高危远程代码执行漏洞信息意外泄露。在最危险的情况下，攻击者可以借这两个漏洞在服务器上执行任意代码。由于信息已经流出，PHP 基金会把原计划中的紧急安全补丁提前到当晚发布。
使用面广，影响被放大
统计显示，目前约 69.4% 的网站后端使用 PHP，WordPress、Drupal、Joomla 等建站系统，以及维基百科所用的 MediaWiki，都建立在 PHP 之上。这两个漏洞的编号为 CVE-2026-109618 和 CVE-2026-109619，PHP 基金会给出的严重程度评分为 9.2 分（满分 10 分）。按原文的比喻，PHP 好比中央厨房，内存管理漏洞给了攻击者改写订单显示的机会，后厨便会源源不断地产出“自助餐”——服务器上的用户资料、新闻网站的内容、电商的收款账户，都可能被交出去或改掉，进一步植入勒索软件、以服务器为跳板入侵其他系统也在可能范围内。
下线、打补丁与仍然“裸奔”的站点
日本的使用比例高达 92%，高市早苗公开发文敦促网站管理者安装补丁；欧洲部分政府与学术机构紧急断网；niconico、pixiv 以及《赛马娘》《碧蓝幻想》和任天堂相关游戏服务相继下线，寿司郎的小程序也暂停运行。补丁发布并不等于问题解决：并非所有管理者都有时间或意愿更新系统，而目前全球仍有近半网站运行已结束支持周期的旧版 PHP，这些分支从一开始就拿不到补丁，若不彻底升级，等于持续暴露在风险中。
补丁推送前，思科、WatchTowr 和 360 等安全团队已根据公开信息复现攻击流程，Cloudflare 也观察到小规模攻击行为。据官方复盘，这一隐患早在 2024 年的一次外部安全审计中就被注意到，但因缺少稳定可复现的攻击方式、修复核心代码可能影响兼容性，修复工作一直搁置；今年 6 月 OpenAI 发起“Patch the Planet”计划后，情况才出现变化。对攻击者与运维人员来说，这场竞速才刚刚开始。
