PHP 兩個高危遠端執行漏洞曝光，日本多個網站緊急維護

10月22日消息，兩天前，代號 PHP2Shell 的兩個 PHP 高危遠程執行漏洞信息意外泄露，官方剛剛公開漏洞編號：CVE-2026-109618 和 CVE-2026-109619。

安全社區給它們起了個直白的綽號 PHP2Shell。意思是攻擊者往你的網站發一個請求，就能在你的服務器上拿到一個 shell（命令行入口），也就是為所欲為的控制權。

10 月 21 日，PHP 官方發佈緊急更新 8.5.12、8.4.27、8.3.36 和 8.2.35，修復包括可導致未認證遠程代碼執行的關鍵漏洞。運行 PHP 服務的團隊應優先核對部署分支及發行版回移補丁狀態。

同時確認：兩個漏洞的嚴重程度均為 CVSS 9.2 分（滿分 10），不需要賬號密碼就能遠程利用。

當晚，參與發現漏洞的安全公司 Calif 誤發了一段演示視頻，展示他們的攻擊代碼在多個真實目標上跑通，視頻副本隨即在社交平台瘋傳。

與此同時，OpenAI 個人智能體研發負責人，OpenClaw 之父彼得·斯坦伯格（Peter Steinberger）也在社交平台披露，Calif 在研究中使用 GPT-5.6 Sol，並與維護者及安全夥伴協調修復。這個案例的價值在於把模型輔助發現、人工驗證和補丁發佈連成了實際流程。

PHP 基金會的復盤也確認，OpenAI 團隊在 8 月 11 日獨立報告了相同根本原因，之後又補充了攻擊路徑。他們在文章裏詳細記錄了漏洞是怎麼被發現和修復的，以及披露了失控的完整記錄。

全世界約有七成網站後台都使用了PHP，日本的使用比例更是高達 92%。因此，日本首相高市早苗親自發文敦促網站管理者打補丁，而日本最大的插畫/漫畫/小説投稿社區 pixiv、日本老牌彈幕視頻網站 Niconico、pixiv 旗下的創作者電商平台 BOOTH 等平台都宣佈了緊急維護，《賽馬娘》《碧藍幻想》和任天堂相關遊戲服務也紛紛下線，開始了歸期未定的漫長升級。

壽司郎也在官方平台宣佈因系統維護升級，今天小程序暫停運行。

WordPress、維基百科背後的 MediaWiki 等全部跑在 PHP 上。根據 W3Techs 的數據，在可以識別服務端技術的網站中，69.3% 使用 PHP；第二名 JavaScript 只有 8.1%。

修復版本目前只覆蓋 PHP 8.2 到 8.5 四個分支，而 W3Techs 的同日數據顯示，全部 PHP 網站裏仍有 27.0% 跑在 PHP 7.x、7.7% 跑在 PHP 5.x，這些早已停止維護的版本拿不到官方補丁。

計算機取證專家 Hal Pomeranz 提到「有太多嵌入式安裝永遠不會被打補丁，太多被遺忘的、無人維護的應用。這一次，長尾會很長。」