昨晚，可能是网络安全的噩梦。

也是很多工程师的，不眠之夜。

只能说，我们整个时代和社会，在AI的加速下，都会变得焦头烂额中。

首先是前天，也就是10月20日夜里11点多，Hacker News上突然冒出来一条帖子。

标题巨吓人，说是两个CVSS 10.0的PHP远程代码执行漏洞，即将公开。

发帖的人自己写着，除了“信源：信我就行”（trust me, bro）之外，我没有任何证据，然后甚至还附上了漏洞编号。

不过呢，这种帖子，网上一天能刷到一百条，没人当真。

但这一条，几个小时后被一家叫watchTowr的安全公司确认了。他们的原话是：“我们本来都该等到周四的。”

这一下就尴尬了，因为这个漏洞是巨大的，已经处于泄密状态了，真的有心人已经可以开始利用，但PHP官方的安全更新还在打包中，原定于22号晚上更新，可这瞬间就有两天的空档，如果这两天之内漏洞被利用且被攻破，后果不堪设想。

又过了一个多小时，PHP官方急忙发了预告：原定10月22日的安全更新，被迫提前到21日晚上10点（北京时间），尽可能的压缩时间。

结果，官方预告刚发出去，又出了个更离谱的事。

一家参与发现这两个漏洞的安全公司，叫Calif，居然不小心把一段攻击演示视频发到了网上，充分的说明了，这个世界就是一个巨大的草台班子。

视频里，他们展示了如何利用这些漏洞，在多个目标上成功运行攻击验证程序，虽然视频很快就删了，但没办法，手快已经有人保存下来，开始在社区上大肆传播。

原本大家只知道有两个严重漏洞，连具体怎么攻击都不知道，现在，连攻击演示视频都有了，就差手把手教学了。

然后在各种离谱的AI加速之下，安全研究人员开始加速复现，网上各种号称能利用漏洞的代码也开始冒出来。

而这时候，距离可以修复安全漏洞的补丁推出给所有人可被正式下载，还有，16个小时。

生死时速的16个小时，如果是以前，恶意之人，可能还没办法在这么短的时间里发起大规模的攻击，但是如今，是AI时代了，16个小时，对于用AI加速后的人们来说，好像有点太长了。

更离谱的是，21日下午3点41分，一家做容器镜像的公司，比约定时间提前了6个多小时，把已经打好补丁的镜像发了出去，PHP基金会直接开骂了：“无视了多方数周的协调工作。”

因为这年头，懂行的人拿新旧两版代码让AI直接暴力对比一下，直接就知道漏洞在哪了，用AI研究补丁，用AI逆向分析漏洞，再用AI开发攻击程序。

但大量正常网站的管理员，却还没有能够直接安装的更新包，这意味着攻击者直接开了天眼，直接抢跑。

21日这一天，荷兰的数字身份系统、议会网站，连国家网络安全中心自己的网站，挨个下线。

芬兰政府的IT服务商也关掉了一批服务，美国一家做人力资源软件的公司 BambooHR直接停服，提醒客户发薪相关业务可能受到影响，日本的 niconico和pixiv进入紧急维护。

因为日本的PHP网站实在太多了，甚至高市早苗都去X上发文，建议预防性下线，直到晚上10点的PHP更新推送。

一个编程语言的漏洞，让高市早苗半夜发推，让好几个国家的政府主动拔网线，这种画面，说实话，我真没见过。

就这样，世界跌跌撞撞，撑过了这十几个小时。

无人知道，在这十几个小时中，水下的黑暗面里，获得了什么。

晚上10点，PHP安全更新上线，对于这两项严重漏洞来说，没有任何完整的缓解措施，更新是唯一安全的选择。

同时，OpenAI出来认领，PHP这两个史诗级的安全漏洞，是GPT辅助发现的。

而这个漏洞，还不是啥新模型整的，是几个月前，用GPT-5.6 Sol发现的，所以大家就可以想象，如果是这些大模型公司的未发布的内部的更强模型去扫的话，全世界的各种网络基建，那可能真的全都有问题。。。

这里希望大家一定要注意，如果你自己的网站中，使用了PHP，如果你还不知道这些消息，请看到的第一时间，立刻，立刻更新版本，也希望能扩散给你的朋友。

我知道，很多人会说，不就是一个漏洞吗？有什么大惊小怪的。

那我觉得，要理解这次为什么闹这么大，全球反应为啥这么过度，得先知道PHP是个什么东西。

我也不是啥专家，我只能用我知道的语言，尽力描述一下。

首先，我们可能都知道，你在浏览器里点开一个网页，服务器那边得现场算出来这一页该显示什么，比如你是谁，购物车里有什么，这篇文章下面有几条评论等等，那干这个活的程序，叫后端。

而PHP，就是写后端最常用的语言之一。

不过因为太老了，现在很多公司的新产品或者新技术栈都不太用了，并且有意思的是，PHP在程序员圈子里一直是被嘲的对象，“PHP是世界上最好的语言”，当了十几年的梗，很多人都觉得它是上个世纪的东西。

但在全球，用PHP搭的网站，依然占据着70%，即使是新一点的国内，虽然Java极多，以2026年10月的数据看，依然还有超过一半的网站，是用PHP搭的。

人人都嘲它，但说实话，也人人都离不开它。

你注册过的论坛、小店的付款页、很多地方政府的办事网站、公司内部的报销系统，还有路由器和NAS的管理后台，大概率都有一个跑在PHP上的。

它就像城市地下的老水管，平时确实没人想起它，一旦爆了，整条街都能喷的全是屎。

而这一次，就是PHP本身爆掉了。

这次的漏洞有个名字，叫PHP2Shell。Shell就是服务器的命令行，拿到它，你就可以认为约等于拿到了这台服务器的控制权了，所以这个名字的意思极其直接，从PHP，直通你的服务器。

它包含两个编号，CVE-2026-109618和CVE-2026-109619。

CVE你可以理解成漏洞的身份证号，全球统一。

严重程度用 CVSS 打分，满分10分，最开始泄露版本是满分，但是最后其实给的是9.2分。

要讲清楚这两个漏洞呢，还是得先说一个最近所有人都很肉疼的概念：

就是程序跑起来的时候，要不停地向系统“借”内存，用来存放临时数据，然后用完再“还”回去，PHP的解释器是用C语言写的，C语言跑得快，但借和还，依然全靠程序员自己记账，系统可不管你。

所以这个账一旦记错，就会出事了。

第一个漏洞，CVE-2026-109619，专业名词叫“释放后使用”（use-after-free）。

举个例子，你开了一家酒店，第一个客人来寄存行李，服务员把他的东西放进了18号柜子，并且在本子上记了下来。

后来客人走了，柜子清空，重新给第二个人用了。

结果问题来了，服务员忘记把本子上原来的记录删掉了。

第二个人刚把自己的东西放进去，服务员就拿着旧记录，跑去打开18号柜子，还以为里面是第一个人的行李。

这下就麻烦了，他可能看到了第二个人的东西，甚至还有可能把里面的东西给弄坏了。

PHP这次的问题，就出在类似的地方，原本已经归还的内存，又被拿去存放新的数据，但PHP还留着指向原来位置的旧记录。

于是，它以为自己在处理上一份数据，实际上碰到的早就成了另一份数据，所以，如果攻击者能精心操纵这个过程，就有机会读取、篡改原本不该碰的数据，甚至进一步控制服务器。

这就叫释放后使用，英文叫Use-After-Free。

轻一点，能读到服务器内存里别的用户的密码、令牌、API密钥，严重一点的话，精心布置内存以后，可以用你这台服务器，直接执行他自己的代码，那后果就不堪设想了。

第二个洞：内存不够时的紧急撤离，这是CVE-2026-109618。

这个漏洞更有意思，我们还是拿酒店举例。

AI 挖出潜伏十几年的 PHP 底层漏洞，PHP2Shell 事件全景复盘