1. 发生了什么
PHP 开发团队于2026年10月21日发布 8.5.12、8.4.27、8.3.36、8.2.35，修复两个重大漏洞（CVE-2026-109618、CVE-2026-109619），并要求所有用户立即更新。这两个漏洞可能让未登录的外部人员远程在服务器上执行程序；开发团队表示，凡是处理网页请求的 PHP，不论用的是 PHP-FPM、Apache 的 mod_php 还是 LiteSpeed 等，都在影响范围内（PHP 官网）。PHP 8.1 及更早版本没有修复版，开发方只为 7.4 至 8.1 提供了最低限度的缓解措施（JPCERT/CC 注意提醒）。
参与调查的 Wiz 表示，过去十年发布的 PHP，一直追溯到 5.4 版，都至少受其中一个漏洞影响，并公布已在最新版 WordPress、Drupal、Joomla 上实证无需登录即可执行程序；服务器内存中的密码和认证密钥也可能被读出（Wiz 的解说）。按调查公司 W3Techs 的统计，在能判断服务器端语言的网站中，69.2% 使用 PHP，其中 26.8% 还停在没有修复版的第 7 版（W3Techs）。
2. 在日本，首相呼吁「当晚」处理
高市早苗首相于10月21日晚在 X 上呼吁：确认自己公开的网站是否使用 PHP，并做好准备，在当天23点（日本时间）修复版发布后尽快打上；无法马上打的，暂时停掉网站也是降低风险的办法之一（首相的 X 帖子）。次日她又写道，自己的官网也停站处理过，并请网站管理员关注国家网络统括室的预警账号（首相的 X 帖子）。
IPA 在22日发布了对策续报（IPA）。JPCERT/CC 同日发出注意提醒，表示已确认 PHP 在国内被广泛使用，要求运营方除了打修复版，还要调查是否已被入侵。要查的迹象包括：异常长的 PHPSESSID Cookie、可疑的 multipart/form-data 请求及其前后的内存上限报错、PHP 进程异常终止。它同时指出，没查到痕迹也不能断定没有被攻击（JPCERT/CC）。
本公司观点 我们认为受影响最大的，是那些找制作公司做好网站后没签维护合同、在租用服务器上一直跑着旧版 PHP 的中小企业网站。一旦客户信息从询价表单或会员页面被盗，除了道歉和调查的费用，还会被客户要求解释信息管理。大公司这次连夜停站修好了；没人负责网站的公司，在有人察觉之前的几天里一直不设防。请在本周内确认自家网站的 PHP 版本，以及能找谁来更新。
3. 由 AI 找到意味着什么
Wiz 写道，这些缺陷几十年前就存在，但要证明它们能被用于攻击，需要一连串复杂到人类研究者难以完成的步骤，而最前沿的 AI 模型大大降低了这道门槛；针对多个应用的可用攻击步骤，几小时就能做出来（Wiz 的解说）。据 TechTarget 报道，OpenAI 表示自家模型 GPT-5.6 Sol 协助发现了漏洞，过去两个月一直与维护者和研究人员一起准备修复（TechTarget）。
据美联社报道，OpenAI 表示，这次的漏洞只是它已经发现、正在修复的多个重大漏洞之一，并预计未来几个月同类发现会急剧增加。报道还说，欧美的政府机构等组织都暂时停站进行更新（美联社报道）。
本公司观点 我们认为，AI 让找漏洞的速度变快，攻击方也会用上和防守方同样的 AI。过去被认为「太复杂、实际不会被盯上」的老系统，会在很短时间内成为攻击对象。越是把更新当成一年一次、一拖再拖的公司，越追不上从公布到被攻击之间那段很短的时间。我们判断，有没有一张「哪台服务器上跑着什么」的清单、能不能在漏洞公布当天就完成更新，会让受害程度明显分化。
4. 中小企业现在要确认的事
- 列出自家官网、预约表单、网店、内部管理后台中用 PHP 运行的部分（用 WordPress 做的网站都跑在 PHP 上）
- 通过租用服务器的管理后台或制作公司，确认各自的 PHP 版本是否已是 8.5.12、8.4.27、8.3.36、8.2.35 或更新
- 如果还是 8.1 或更早版本，与制作公司或服务器公司定下要升级到的版本和施工日期
- 请人查看日志里有没有 JPCERT/CC 列出的痕迹：异常 Cookie、内存上限报错、进程异常终止
- 定好下次再发生同样的事时由谁来更新、怎么联系
本公司展望
我们判断，未来半年到两年，AI 会接连挖出老软件里的漏洞，修复版一公布、几小时内攻击就开始，会成为常态。同一时期，让 AI 代替消费者去找店、比较供应商的用法也会普及。停站的网站、被篡改的网站、无法判断是否安全的网站，很可能在 AI 比较的阶段就被剔除。防守将从人工追着警报跑，转向让 AI 盯守、当天修好的机制。先把「哪里跑着什么」列成清单、把更新和监控交给 AI 与专人维护的公司，会持续被客户和客户的 AI 选中。现在正是布局的时候。
本文相关问答
PHP2Shell 是什么？我们公司的网站有关系吗
这是2026年10月21日发布修复版的 PHP 两个重大漏洞的俗称，可能让人无需登录就接管服务器。WordPress 等所有用 PHP 运行的网站都可能受影响，请确认 PHP 是否已是 8.5.12、8.4.27、8.3.36、8.2.35 或更新版本。
如果网站还停在旧版 PHP，该怎么办
PHP 8.1 及更早版本没有修复版，需要迁移到仍受支持的版本。如果无法马上迁移，首相和 CERT-EU 都把暂时停站列为降低风险的办法。同时请检查日志里有没有 JPCERT/CC 列出的入侵痕迹。
参考来源
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (2026-10-21)php.net
- JPCERT/CC: PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起jpcert.or.jp
- IPA: PHPの脆弱性対策について（PHP2shell）ipa.go.jp
- 高市早苗首相の X 投稿（2026-10-21）x.com
- 高市早苗首相の X 投稿（2026-10-22）x.com
- Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internetwiz.io
- W3Techs: Usage statistics of PHP for websitesw3techs.com
- TechTarget: PHP2Shell: 22M exposed servers at risk as emergency patches releasedtechtarget.com
- Associated Press (via Anchorage Daily News): Some websites go dark as operators address an AI-detected flawadn.com
- CERT-EU: Critical Vulnerabilities in PHPcert.europa.eu