PHP在2026年10月21日发布安全补丁，修复了Wiz Research披露的一组核心引擎漏洞，这组漏洞被统称为PHP2Shell。Wiz说PHP支撑全球约70%的网站，漏洞最高评级CVSS 9.2，攻击者不用登录就能远程执行代码或读走服务器进程内存；过去十年发布的PHP版本至少命中其中一个，WordPress、Drupal和Joomla的最新镜像都已被验证可以被攻破，两个编号为CVE-2026-109618和CVE-2026-109619。
问题出在引擎，不在插件和主题
这次的漏洞藏在PHP处理致命错误、尤其是内存耗尽时的引擎逻辑里：请求异常结束后，损坏的内部状态可能被后续请求复用，进而造成内存泄露或代码执行。它和某个插件写错代码无关，哪怕站点只是一个简单的Hello World页面，只要跑在受影响的PHP版本上就有风险。内存里能被读走的内容包括其他请求里的密码、令牌、API密钥和证书，所以影响也不止于被攻击的那一个站点本身。
藏了十多年的漏洞，是被AI推到可利用这一步的
Wiz在报告里把这组漏洞称为AI时代的一个转折点：有缺陷的代码在PHP里存在了十多年，难点一直是把多个缺陷串成可用的攻击链，还要针对不同版本和内存布局反复调试。前沿模型把这部分工作压缩到了小时级，单个研究者一周完成了过去顶级团队数月的工作量；同一批模型也参与了漏洞发现和补丁验证。对站长来说，眼下最有效的动作只有一个：尽快升级到已修复的PHP版本；暂时升不了的，先用云厂商和CDN在披露前已准备好的缓解规则顶住，并留意异常的multipart请求和成串的500错误。拖着不升的风险，正在被AI拉低攻击门槛这件事放大。
