前言：国内90%的网站、商城都是php开发，开发者要赶紧更新官方最新补丁！
10 月 21 日，PHP 官方发布紧急安全更新，修两个漏洞：CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell。CVSS 4.0 评分都是 9.2，最高优先级。
危害说得很直白：不用登录，一个请求就能在服务器上执行任意代码。从 PHP 5.4 起的几乎所有版本都受影响，包括大量还在跑的 7.x、8.0、8.1。
更要命的是，8.1 及更早版本官方早已停止支持。想打补丁都没有官方包，只能升级——而这些版本恰恰是很多老系统离不开的。
两个漏洞的成因不一样。
109618 出在内存溢出的处理上。PHP 用 memory_limit 限制单个请求的内存，超了就中断。但中断发生在请求数据只初始化了一半的时候，后续清理会把无效数据当成有效数据处理，释放掉从未初始化的内存——那块内存里可能还留着攻击者上一次写进去的东西。
109619 是状态残留。一个请求的内部状态在内存释放后没有清干净，同一个 worker 处理下一个请求时，会用上这块“过期”的状态。两者都能导向同一个结果：远程代码执行。
波及面是所有处理网页请求的部署：PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP、LiteSpeed。官方认为 mod_php 风险最高。研究人员已经在部分 WordPress、Drupal、Joomla 站点上复现了未登录的 RCE——这三个加起来，占的网站数量不用多说。
全球约七成网站跑在 PHP 上。路透社的报道里，荷兰、芬兰已有政府网站提前下线，日本那边连夜加班。修复版本是 8.5.12、8.4.27、8.3.36、8.2.35。
有意思的是发现过程。
这两个漏洞是安全公司 Calif 用 GPT-5.6 Sol 找到的，属于 OpenAI 六月启动的“Patch the Planet”计划——用 AI 找开源项目的漏洞，顺带解决“AI 报 bug 太快、维护者修不过来”的问题。Wiz Research 也独立发现了同一批漏洞，研究过程中用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol，其中 Gemini 在漏洞发现、利用程序开发、攻击检测和补丁验证上都参与了。
之后 OpenAI 牵头，联合 PHP 维护者、Wiz、Cloudflare 准备了两个月，才把补丁发出来。慢的原因是改动落在 PHP 引擎底层，牵一发动全身。
OpenAI 的公告里有句话值得记住：这只是他们已经发现、正在修的众多重大漏洞中的一部分，未来几个月，类似漏洞的数量会急剧增加。
也就是说，这次不是终点。AI 把漏洞发现的速度提上来了，但开源维护者的人手、企业的补丁流程，都还是原来的速度。所谓“防御者窗口”，只是一段时间差，不是安全垫。
如果你手上管着服务器，别只看主站。很多设备、面板、插件、老旧业务系统里都内嵌着 PHP，盘点清楚比打补丁更难，也更要紧。升级完再翻一遍日志，看有没有异常请求——这类漏洞利用起来，日志里未必好看。
上一篇：
超低价！AI漫剧系统，源码出售！功能强大，自带画布功能
太好了！朋友圈广告系统，源码输出，可二次开发！