PHP 曝两个免登录就能接管服务器的漏洞，AI 参与发现，所有 PHP 网站要马上升级

PHP 官方 10 月 21 日紧急发布 8.5.12、8.4.27、8.3.36、8.2.35，修补两个严重漏洞（CVE-2026-109618、CVE-2026-109619，研究者叫它 PHP2Shell）。按 PHP 官方的说法，攻击者不用登录，发特制请求就可能在服务器上执行任意代码，等于拿到整台服务器。WordPress、Drupal、Magento 都跑在 PHP 上，OpenAI 引用的估算是约 70% 的网站在用它。

【我的 PHP 网站受影响吗】

基本都在范围内。PHP 官方说，凡是对外处理网页请求的 PHP 都有风险，PHP-FPM、Apache mod_php、LiteSpeed 等常见跑法全包括，mod_php 风险最高。按 Wiz 和 Sansec 的说法，2012 年发布的 PHP 5.4 以来的版本都受影响。

问题出在 PHP 引擎本身，好比大楼门锁坏了，你家装修得再好也没用。Wiz 和 Calif 已在最新版 WordPress、Drupal、Laravel 等上演示了免登录攻击。

【现在该做什么】

自己管服务器的：立刻升级到上面四个版本之一。PHP 8.1 及更早版本官方已停止维护，只给了 7.4、8.0、8.1 的源码补丁；用 Ubuntu、Debian 等发行版自带 PHP 的，看发行版的安全更新。

用虚拟主机、托管 WordPress 的普通站长：PHP 由主机商管，装插件、改网站代码都修不了。去控制面板看 PHP 版本，或直接问主机商补了没有。

PHP 官方给的临时配置只能降低风险，官方明确说升级才是唯一完整的办法。Cloudflare 给所有用户（含免费版）上了拦截规则，但它自己也说只是临时挡一下，而且只管经过 Cloudflare 的流量，攻击者绕开它直连服务器就挡不住。

【AI 立了什么功】

OpenAI 说，安全公司 Calif 在它的 Patch the Planet 计划里用 GPT-5.6 Sol 找到漏洞。据 Sansec 整理的时间线，Calif 8 月 11 日就报给了 PHP；Wiz 也独立发现并上报，用的是 Gemini 4 Argon 和 GPT-5.6 Sol 等工具。OpenAI 称两个月来牵头协调维护者和安全厂商准备修复，认为这是近年影响最大的漏洞之一，也是 AI 抢在攻击者前面发现漏洞的例子。

【提前泄露了吗】

属实。漏洞原定 10 月 22 日公开，20 日有人在 Hacker News 发帖提前曝光，帖子删了但截图已传开，PHP 官方随即把发布提前到 21 日。

攻击已经开始。Cloudflare CTO 在补丁发布前几小时就说看到早期攻击；安全公司 watchTowr 说已有人用 AI 辅助写的工具发起攻击，"目前还没人成功，但不会太久"。荷兰政府的 DigiD 等网站先自行下线避险。

PHP 官方公告：http://t.cn/AXjZ0Eko
OpenAI 原文：http://t.cn/AXjZ0EkK
Wiz 技术说明：http://t.cn/AXjZ0Ek9