PHP 兩個高危遠端執行漏洞曝光，日本多個網站緊急維護

10月22日消息，两天前，代号 PHP2Shell 的两个 PHP 高危远程执行漏洞信息意外泄露，官方刚刚公开漏洞编号：CVE-2026-109618 和 CVE-2026-109619。

安全社区给它们起了个直白的绰号 PHP2Shell。意思是攻击者往你的网站发一个请求，就能在你的服务器上拿到一个 shell（命令行入口），也就是为所欲为的控制权。

10 月 21 日，PHP 官方发布紧急更新 8.5.12、8.4.27、8.3.36 和 8.2.35，修复包括可导致未认证远程代码执行的关键漏洞。运行 PHP 服务的团队应优先核对部署分支及发行版回移补丁状态。

同时确认：两个漏洞的严重程度均为 CVSS 9.2 分（满分 10），不需要账号密码就能远程利用。

当晚，参与发现漏洞的安全公司 Calif 误发了一段演示视频，展示他们的攻击代码在多个真实目标上跑通，视频副本随即在社交平台疯传。

与此同时，OpenAI 个人智能体研发负责人，OpenClaw 之父彼得·斯坦伯格（Peter Steinberger）也在社交平台披露，Calif 在研究中使用 GPT-5.6 Sol，并与维护者及安全伙伴协调修复。这个案例的价值在于把模型辅助发现、人工验证和补丁发布连成了实际流程。

PHP 基金会的复盘也确认，OpenAI 团队在 8 月 11 日独立报告了相同根本原因，之后又补充了攻击路径。他们在文章里详细记录了漏洞是怎么被发现和修复的，以及披露了失控的完整记录。

全世界约有七成网站后台都使用了PHP，日本的使用比例更是高达 92%。因此，日本首相高市早苗亲自发文敦促网站管理者打补丁，而日本最大的插画/漫画/小说投稿社区 pixiv、日本老牌弹幕视频网站 Niconico、pixiv 旗下的创作者电商平台 BOOTH 等平台都宣布了紧急维护，《赛马娘》《碧蓝幻想》和任天堂相关游戏服务也纷纷下线，开始了归期未定的漫长升级。

寿司郎也在官方平台宣布因系统维护升级，今天小程序暂停运行。

WordPress、维基百科背后的 MediaWiki 等全部跑在 PHP 上。根据 W3Techs 的数据，在可以识别服务端技术的网站中，69.3% 使用 PHP；第二名 JavaScript 只有 8.1%。

修复版本目前只覆盖 PHP 8.2 到 8.5 四个分支，而 W3Techs 的同日数据显示，全部 PHP 网站里仍有 27.0% 跑在 PHP 7.x、7.7% 跑在 PHP 5.x，这些早已停止维护的版本拿不到官方补丁。

计算机取证专家 Hal Pomeranz 提到「有太多嵌入式安装永远不会被打补丁，太多被遗忘的、无人维护的应用。这一次，长尾会很长。」