10月21日，广泛应用于网站和网络应用开发的编程语言PHP被曝出存在两项严重安全漏洞，需要进行紧急安全更新。PHP开发团队当天发布针对两项严重安全漏洞的修复补丁，并强烈建议所有用户立即安装。随后，美国、欧盟及德国、英国等多国网络安全机构连夜发布提醒，部分国家和地区的政府和商业网站预防性下线。10月22日，国家网络安全通报中心发布PHP远程代码执行高危漏洞预警。
一场安全危机，把一个平时几乎没人关心的名字，推到了聚光灯下：PHP。不少政府网站临时关闭，安全机构发布警告，云服务商紧急更新防护规则。它不是某一家公司的软件，而是支撑大量网站运行的底层程序。全球约70%的网站依靠PHP运行，包括WordPress。漏洞出现后，从澳洲统计局（Australian Bureau of Statistics）到欧洲医疗机构，同一天，Wiz Research、OpenAI、PHP 基金会和安全公司 Calif 四家几乎同时发博客，NSA、CISA、英国 NCSC、加拿大网络安全中心、CERT-EU 相继挂出紧急公告，Cloudflare、Fastly、Google Cloud、AWS、Azure、Vercel 的 WAF 缓解规则当天上线。全球多个面向公众的网站一度离线。这并不是一次大规模黑客入侵，而是为了赶在黑客利用漏洞窃取私人数据前，采取预防性措施修补漏洞。
警报发出后，全球多家机构火速响应。欧美安全单位率先预警，亚洲多国及地区跟进发布极高危通告：日本多家金融、交通、企业网站主动暂停服务，全日空、朝日集团、世嘉等企业下线相关业务；韩国超11万套互联网资产处于风险之中；阿里云、腾讯云也同步提醒客户尽快处置，维基百科也临时下线多项服务等待修复。
PHP诞生于1994年一个程序员维护个人主页的朴素需求，三十年后仍驱动着全球约七成可识别服务器端语言的网站；然而它的“统治”正遭遇双重解构——一方面TIOBE热度榜上PHP已跌出前十，AI编程工具将“写代码”本身的稀缺性清零；另一方面，AI生成内容占比在2025年越过50%临界点、机器人流量首次超过人类流量、搜索引擎从“引路人”变成“终点站”，整个开放互联网的价值体系正在被重写。
WordPress、Drupal、Joomla、Magento 等常见建站或内容管理系统，也可能运行在 PHP 环境中。
这次公布的两个漏洞涉及PHP 核心处理机制，严重程度达到需要紧急修复的级别。
如果漏洞被成功利用，攻击者可能进一步尝试：
篡改网站内容： 在官网植入恶意页面、博彩链接或其他违规内容。
窃取业务数据： 在具备相应权限和条件时，获取客户资料、业务文件等信息。
控制服务器： 利用获得的执行权限，进一步攻击网站及其关联系统。
破坏企业经营： 网站无法访问、客户失去信任，甚至影响正常获客和订单转化。
全球约七成网站使用PHP，约157万个主机版本低于补丁
两个超高危漏洞被曝，危险评分都达到了9.2分的最高优先级范围。最严重的情况下，攻击者无需登录即可在服务器上执行代码。从PHP 5.4开始的几乎所有版本都会受到影响（包括大量仍在使用的7.x和8.0/8.1）。官方明确表示，没有完整的缓解措施，唯一安全的做法就是立即升级。两个漏洞都叫 use-after-free，Wiz 用最新官方镜像实测 WordPress、Drupal、Joomla，全部被打穿，哪怕网站只输出一句 Hello World 也一样危险。WordPress 官方专门发声明，让站长去催主机商打补丁。别小看覆盖面：作为历史悠久，深具底蕴的编程语言，PHP 可是驱动着全球约 70% 的网站。而大多数网站，也疏于维护，极易被攻击。一下子升级有点麻烦，现在拔网线是最省事儿的办法了。
对很多中小企业来说，官网不仅是一张网络名片。它可能承担着品牌展示、产品介绍、搜索流量承接、客户咨询和订单转化等工作。尤其是制造业企业，官网上往往还留有产品资料、技术文档、联系方式和客户询盘入口。一旦网站被篡改或长时间无法访问，影响的就不只是页面好不好看，而是企业的业务链条。
