cherry 过去两天，欧洲和日本多地的在线服务出现集中中断。芬兰交通与通信局关闭了部分在线服务；荷兰的电子身份系统 DigiD、个人服务平台 MijnOverheid 和政务门户暂停使用，荷兰国家网络安全中心自己的网站也一度无法访问。日本方面，pixiv、Niconico、BOOTH 等平台宣布紧急维护，寿司郎的小程序同样暂停运行。
起因是两个已公开编号的漏洞：CVE-2026-109618 与 CVE-2026-109619，安全社区给它们起的绰号是 PHP2Shell。10 月 21 日，PHP 官方发布 8.5.12、8.4.27、8.3.36 和 8.2.35 紧急更新，确认两个漏洞的 CVSS 评分均为 9.2，不需要账号密码即可远程利用。在 Apache 这一常见部署方式下，攻击会在网站自身代码开始运行之前触发。
漏洞的公开过程并不顺利。按原计划，细节应在 10 月 22 日协调披露，但 10 月 20 日下午 Hacker News 出现了一条声称存在两个满分远程代码执行漏洞的帖子，帖子虽被删除，截图已经流传。安全公司 watchTowr 随后确认泄露内容属实，并复现了其中一个漏洞。PHP 安全团队当晚发布预警，将发版时间提前 24 小时。此后又有安全公司 Calif 误发演示视频，发行商 Chainguard 提前发布了含修复的镜像。PHP 基金会在复盘中对此表达了不满。
影响面之所以大，是因为漏洞位于 PHP 解释器内核，与某个插件或应用无关。据 W3Techs 的数据，在可识别服务端技术的网站中，69.3% 使用 PHP，第二名 JavaScript 为 8.1%；WordPress、Drupal、Joomla、Magento 以及维基百科所用的 MediaWiki 都运行在 PHP 上。发现者之一 Wiz 的说法是，哪怕网站上只跑着一个 Hello World，也照样受影响。
