2026年10月21日，荷兰国家网络安全中心（NCSC）自己的官网一度打不开。同一天，荷兰众议院和芬兰政府站点断网，法国数据保护机构CNIL关闭站点,日本pixiv、Niconico进入紧急维护。
这不是遭了攻击，而是"预防性下线"。让这些机构宁可停摆也不敢上线的，是当天午后PHP官方紧急发布的两枚漏洞补丁，编号CVE-2026-109618与CVE-2026-109619，通用漏洞评分（CVSS v4.0）均为9.2分，安全圈统称"php2shell"。
这两枚漏洞属于"未授权远程代码执行"：攻击者无需登录、无需受害者操作，即可让服务器运行自己指定的代码。这次冲击不只来自漏洞本身，更来自它被处理的节奏，从发现到修复历时约71天，最后24小时因泄密提前压缩发布，而在已披露版本的约103万台服务器中，超七成运行在已停止官方支持的PHP版本上。
安全公司Wiz称，至少其中一枚漏洞存在于自PHP 5.4起的每一个版本中。但它的首次迹象出现在处理2024年审计报告问题时。
那次审计由Sovereign Tech Agency出资、OSTIF组织、Quarkslab执行，历时约两个月，共发现27项问题，其中17项为安全问题（3高、5中、9低），产生4个CVE编号。报告明确注明"因预算限制，本次审计聚焦最关键的组件而非全部代码库"。
PHP Foundation后来说明，OOM问题的最初迹象是在处理Quarkslab审计报告所列某个问题的修复时被一位受资助的核心开发者发现的。2024年曾对该问题的可利用性做过理论推演，但没找到具体攻击方式，随后被其他更明确的问题盖过。
问题的根在内存处理：CVE-2026-109618的成因是当请求恰好耗尽PHP设定的内存上限时，处理过程被打断，留下只初始化了一半的内部数据，之后这段数据被当作有效数据使用，造成内存破坏。CVE-2026-109619的成因是致命错误在错误时点发生，PHP内部状态仍指向上一个请求已释放的内存，同一工作进程处理后续请求时复用了这块内存，形成"释放后使用"缺陷。
所有处理网页请求的PHP安装都受影响，包括Apache的mod_php模块、PHP-FPM、php-cgi、FrankenPHP和LiteSpeed等运行方式。其中mod_php风险最高：未登录请求可在任何应用代码执行之前触发漏洞,且已在默认配置下演示出完整远程代码执行。攻击者可借此读取服务器进程内存里的密码、登录令牌、API密钥和证书。
AI辅助的报告与共识制的停滞
2026年8月11日，安全公司Calif的研究员Ryan Austin上报了第一例可无条件远程代码执行的漏洞，根因与2024年发现的OOM问题相同；同日OpenAI独立报告了同一根因。8月24日，Wiz另行提交报告；9月18日，OpenAI报告了更多触发方式。
Calif研究员在发现过程中使用了OpenAI的GPT-5.6 Sol模型辅助审计。Calif首席执行官Thai Duong在8月11日致电PHP Foundation安全工程师Volker Dusch示警。OpenAI称,据其所知，这是前沿AI首次在攻击者之前发现此类漏洞，为防守方打开了一个"防御者窗口"。Wiz联合创始人Ami Luttwak称这是"AI发现过的最严重漏洞"，并称其复杂到没有AI很难发现。
但修复工作在数月间反复停滞又重启。
PHP Foundation公开承认："我们不会假装不是这样：这次延迟是一次结构性失败，原因既在安全团队的决策流程，也在资源不足。"团队按共识制运作，修复工作"在数月间反复停滞又重启"。
安全团队当时设计出多个互相竞争的修法，每个都有代价：破坏向后兼容、带来新的拒绝服务风险、或要求大量第三方扩展改动而"看似无法协调"；团队"害怕选错方向的后果"。这次修补最终涉及近200个文件、超过1万行代码，由PHP维护者主导，历时约两个月保密完成。
PHP Foundation提出的补救措施包括：安全团队决策改为多数决、鼓励成员妥协。
图：Oracle October 2026 Critical Patch Update Addresses 1209 CVE（来源：jp.tenable.com）
10月20日夜：泄密与提前
原定的发布日期是10月22日。10月20日约15:00（UTC），两个CVE编号在论坛和社交媒体上流传，附带错误的发布时间和错误的CVSS 10.0评分（实际为9.2），但未泄露技术细节。
20:00左右，Calif误发了一段演示攻击代码对多个目标运行的视频，副本在社交媒体扩散。PHP Foundation称该视频帮助他人加快了自己的攻击工具开发。
19:30，PHP团队发布预告，并把发布时间提前到10月21日14:00（UTC）。预告写道："PHP安全团队提前通知：即将于2026年10月21日周三14:00 UTC发布安全更新，两个严重漏洞，均评为CVSSv4 9.2。建议PHP用户准备更新。若细节公开或出现活跃利用证据，将提前发布。"
当夜，安全公司watchTowr确认漏洞为真，其CEO Benjamin Harris称："鉴于敏感性，我们目前无法分享技术信息，但可以确认这些漏洞确实存在。"
同一天，Hacker News出现一则预告帖（后被删除），发帖者自认"除了'来源：信我，兄弟'之外没有任何证据"，却准确点出两枚漏洞、两个CVE编号、披露日期，并把评分说成10.0。
原定还有两天的缓冲，被压缩成一夜。
21日：下线与规则
10月21日07:41（UTC），软件供应链公司Chainguard提前发布含修复的容器镜像，比协调披露时间早六个多小时。PHP Foundation称此举"无视了许多方数周的工作"。
PHP官方补丁实际约在13:35（UTC）上线，比计划的14:00早几分钟。Cloudflare的网页防火墙（WAF）规则于03:02（UTC）对免费及付费用户默认生效，比官方披露早约九小时；规则同时使用请求与响应两类信号，以阻止攻击尝试并防止泄露数据外流。Cloudflare首席技术官Dane Knecht称："我们正看到早期攻击出现，并在新攻击方式出现时更新缓解措施。这只是权宜之计。"
荷兰国家网络安全中心官网预防性下线；荷兰、芬兰部分政府站点下线；法国数据保护机构CNIL的站点关闭；日本BASE、pixiv、Niconico进入紧急维护。法国内政部称地方政府网站被临时下线为预防措施；医院亦受影响。荷兰电商行业协会Thuiswinkel.org把自家部分网站临时下线,并建议会员当天联系技术方，且"不只是WordPress/WooCommerce，任何系统的版本都要换"。
日本首相高市早苗当晚在X上发帖，呼吁排查系统并准备打补丁。
欧盟网络安全机构CERT-EU于10月20日发布2026-018号安全公告，建议无法修补的机构"考虑将面向互联网的应用与公共网络隔离"；英国国家网络安全中心称"无法立即修复时，机构应考虑在完全缓解前将系统下线"。美国网络安全和基础设施安全局（CISA）在21日发布警报，建议升级PHP；无法升级的8.1及更早系统应"下线"。澳大利亚信号局下属ACSC、日本IPA、法国CERT-FR也发布了同类建议。美国国家安全局（NSA）在社交媒体上称："这些漏洞往往提供直达服务器文件系统或数据库的路径。"
超七成系统无官方补丁
PHP官方对已停止支持的PHP 7.4、8.0、8.1破例发布了最小化源码补丁；各Linux发行版和长期支持（LTS）厂商提前拿到了补丁。修复版本为PHP 8.5.12、8.4.27、8.3.36、8.2.35。
但更老的版本只能依赖发行版或下线。VirusTotal口径下，在披露了版本号的服务器中，约75.8万台运行PHP 5.4–8.1（不再获官方补丁），约27.2万台在受支持分支。CyberScoop引研究者称，超过130万台互联网暴露主机可能受影响；Shodan计数约190万台。在已披露版本的103万台暴露PHP服务器中，超七成（73.6%）运行在PHP 5.4–8.1分支。
Cisco Talos基于开源情报估计，约50%的PHP系统不会获得补丁。
PHP 8.2分支的安全支持将于2026年12月31日结束。下一次同级别漏洞爆发时，仍停留在8.2的企业只剩约两个月缓冲期。
市场研究机构W3Techs口径下，PHP驱动约70%的已知服务端语言网站；WordPress占全球约43%的站点。Wordfence提醒：每个WordPress站点都跑在PHP服务器上，但WordPress的自动更新不会修PHP这一层。
PHP的session上传进度功能（session.upload_progress，十余年来默认开启，实际很少站点使用）是已确认的攻击入口之一；缓解建议包括关闭该功能、下调post_max_size，但PHP官方称"没有完整缓解措施，升级是唯一安全选择"。PHP核心开发者Gina Peter Banyard称："唯一的缓解办法就是打补丁或升级PHP。"PHP 8.6发布经理Joe Ferguson回应"关掉session上传进度功能即可"的建议时说："ini设置救不了你。"
截至10月21日，没有任何已确认的被入侵受害者、泄露数据量或损失金额；公开信息只有"预防性下线"和"Cloudflare观察到攻击流量"。
安全公司Sansec预计："我们预计发布后15分钟内就会开始大规模攻击。"watchTowr威胁情报主管Jake Knott称："虽然至今没有人成功，但我们不认为这能持续多久。"Calif首席执行官Thai Duong称："推特上随便一个人都能拿补丁去跑AI，然后贴出攻击脚本。到时候会天下大乱。"
PHP Foundation安全工程师Volker Dusch把本次事件与2014年的Heartbleed相提并论，称这是PHP十余年来最严重的安全问题；对提前发布的取舍，他称是在"提醒防守方"与"不给攻击者太多开发时间"之间取得"良好平衡"。
图：研究者估计超130万，Shodan约190万，已披露版本约103万（来源：CyberScoop、据资料换算）
独立安全顾问、伦敦国王学院访问高级研究员Lukasz Olejnik称："所有人都应该立即打补丁，攻击可能来得非常快、规模非常大。AI让利用这类漏洞变得迫在眉睫。真的，就是一两分钟的事。"荷兰伦理黑客Wouter van Dongen称："一个补丁堵住了漏洞，但不能撤销此前的入侵……很多系统会长期脆弱，因为不是所有人都会立即更新，而且旧版PHP不再有官方安全更新。"
