10月21日，PHP官方发布紧急安全更新，一口气修复两个远程代码执行漏洞：CVE-2026-109618、CVE-2026-109619，CVSS评分（国际通用的漏洞严重程度打分，满分10分）都是9.2。安全圈给这组漏洞起了个直白的名字：PHP2Shell，一个HTTP请求，就能从PHP一路打进服务器的命令行。
这事有多严重？
PHP支撑着全球约七成网站的后端，这次漏洞出在解释器核心，从企业官网、电商平台到政务系统，全在射程之内。攻击者无需账号密码，一个构造好的请求，就可能接管整台服务器。
更麻烦的是，这个洞在代码里埋了约14年，2012年发布的PHP 5.4就带着它，直到最近才被AI辅助的漏洞研究挖出来。埋了14年没人发现，意味着全世界的服务器，已经带着这颗雷裸奔了14年。
PHP官方的原话更直接：没有完整的缓解措施，更新是唯一安全选择。
消息一出，全球都在抢时间。补丁发布比原计划提前了一天，但漏洞验证代码还是在社交平台流传开。披露后数小时，全球攻击尝试飙到数百万次，欧洲多国政府与公共服务网站连夜下线避险。
对增长超人来说，这不只是一条行业新闻。我们的主业是给企业建官网、做长期运维，PHP是核心技术栈。全球网站集体暴露的这一天，我们运维的每一台服务器都在弹道中。区别只在于，子弹飞过来的时候，我们接住了。
以下是我们这24小时的实录。
01.
漏洞发布1小时内：P0级响应，全员进入战时状态
公告发布第一时间，我们的技术安全团队触发最高级别P0应急响应，原则只有九个字：先加固、后复盘、全通知。当天傍晚，第一条指令已经下到后端团队：当晚10点前，完成全部最高优先级站点的PHP版本升级。
同时我们对全量项目做了分类：在运维期的上线项目、已交付客户自运维的项目、开发建设中的项目。三类项目三条处置路径，一个都不漏。
02.
当天白天：全量排查，分级加固
全体PHP开发工程师暂停常规开发，全员投入修复。对在运维期的客户项目，我们上了双重防护：
版本升级这一层，按各站点所属分支，对号入座升级到官方修复版本，8.2.35、8.3.36、8.4.27、8.5.12，一个分支都不落；网络层这一层，则通过IP白名单与安全组策略收紧PHP服务端口，只放行内部与可信IP，先把外部攻击路径掐断，再从容打补丁。
对暂时无法升级的老版本站点，我们还多做了一层处理：这次漏洞的触发点，藏在PHP的会话上传进度机制里，攻击者借助一个恶意字段就能触发反序列化攻击。不依赖这个功能的站点，直接在配置里关闭它，再开启严格会话模式辅助防范。多一道开关，就少一条攻击路径。
对已交付、客户自运维的项目，我们同步整理出详细的修复操作指南，配上逐户沟通话术和技术支持排期，确保对方拿到手就能照着做。
03.
深夜：低峰攻坚，逐一验证
入夜后，应急团队继续作战。技术上拉出分批次修复清单，剩余高优先级站点按批次排进业务低峰期升级，把对客户网站访问的影响压到最低。
每台服务器都走完整流程：升级前备份，升级后漏洞验证、功能回归，单站测试通过再批量部署。
04.
24小时内：全量闭环，主动告知
截至漏洞发布24小时内，我们负责运维的全部客户网站，完成PHP安全版本升级与网络层加固，安全验证无风险点，零事故。
紧接着我们做了另一件事：向所有合作客户统一发送《PHP高危漏洞安全处置告知函》，盖着公章，讲清漏洞是什么、我们已经做了什么、后续还有什么建议。多数客户收到函的时候，才第一次知道全球出过这么大的事。
他们的网站风险，在知情之前就已经关掉了。
对正在咨询与观望的客户，我们也同步公开了这次应急处置的全流程。PHP还能不能放心用，我们用这24小时给了答案。
为什么能这么快？两个原因。
一是应急体系平时就在跑。分级响应机制、项目档案、演练流程都是现成的，可用性SLA、备份指标、应急保障通道都写在服务标准里，哪个站点什么版本、什么配置，档案里一查就有，处置方案不需要现想。
二是统一的技术栈。给企业建站，最怕的是东拼西凑：几家供应商、几套系统、几个版本，漏洞来了连自己有多少台服务器在裸奔都数不清。技术栈统一，补丁才能一次打全，这正是我们从建站第一天就坚持标准化选型的原因。
如果你自己在管网站，这次事件有三件事建议立刻确认：
一查版本：确认官网的PHP版本，以及是否已升级到修复版本。特别提醒：PHP 8.1及更老的版本官方已停止安全更新，8.2也在今年12月31日停止维护，还停在这些版本上的网站，这次不升级，下次就是真的没人管了。
二问口径：问你的建站方或运维方三个问题：我的站点受这次漏洞影响吗？修复做了吗？做了怎么验证的？答不上来的，本身就是风险。
三留档案：把服务器、版本、备案主体、运维责任人整理成一张表。这次是PHP，下次可能是别的，档案齐的队伍永远比档案乱的快一步。
END.
写在最后
24小时，零事故，是我们交给客户的答卷，也是增长超人做官网这件事的标准：从AI友好型官网的建设，到长年累月的持续运维与安全值守，让企业在数字世界里的资产，随时有人守。
如果您不确定自己的网站是否已完成这次修复，或者想了解我们的官网建设与运维服务，欢迎随时找我们聊一聊。安全这件事，宜早不宜晚。
推荐阅读
|
|
观点 · AI营销获客 DeepSeek、豆包同时改规则：你的GEO打法该换思路了 |
|
|
干货 · 企业出海 从0到1打开海外市场：如何低成本验证目标市场可行性？ |
|
|
干货 · 企业官网 这家B2B企业的官网，AI引用量是同行的10倍！ |
|
|
观点 · 企业官网 怎么让你的官网AI起来？一站式官网智能升级方案 |
|
|
干货 · 新质生产力 掌握要点，轻松打造高转化「新质生产力」企业官网！ |