新闻 · The Verge AI
PHP：这三个字母正在网络上引发混乱
编程语言 PHP 中被发现的两个漏洞使互联网的大片区域陷入危险。有说法称，多达 70% 的网站以某种方式使用 PHP。维基百科、WordPress、Drupal 以及包括 DeviantArt 和 4Chan 在内的众多热门网站和平台都依赖它运行，后者在事件后曾暂时关停……
en
英文原标题：PHP: The three little letters wreaking havoc across the web
本文为英文原文的机器翻译摘要，原文见：The Verge AI ↗
- PHP 中被发现两个严重漏洞（CVE-2026-109618 和 CVE-2026-109619），可导致远程代码执行，影响从 PHP 5 起近 20 年的所有版本，许多已停止维护的旧系统无法修补。
- 漏洞波及大量知名网站和平台，包括 Wikipedia、WordPress、Drupal、4chan、DeviantArt、Internet Archive，以及荷兰和芬兰政府机构、Pokémon Home 等，部分站点被迫临时下线。
- 安全公司 Wiz 称这是“软件史上最严重的漏洞之一”，并指出该漏洞利用需要极其复杂的步骤，但强大 AI 模型降低了利用门槛；OpenAI 称有研究员用 GPT-5.6 Sol 在攻击者之前发现了漏洞。
- 补丁发布前已有攻击尝试：亚马逊威胁情报在 10 月 17 日发现 PHP2Shell 利用尝试；Cloudflare CEO 表示公开前 10 小时有数千次攻击，公开后 2 小时增至数十万次，到晚间达数百万次。
- 部分老旧服务因无法更新而永久关闭，如两款运营超过十年的日本手游 World Quest 和 Save My Demonic World；NSA 和英国 NCSC 建议无法立即更新时暂时下线系统。
关键数据
- 漏洞严重性评分为 9.2/10
- 据某些统计，高达 70% 的网站使用 PHP
- 漏洞影响自 PHP 5 以来的所有版本，时间跨度约 20 年
- Cloudflare 在公开前 10 小时看到数千次攻击尝试，公开后 2 小时达数十万次，晚间达数百万次
- 亚马逊在 10 月 17 日发现 PHP2Shell 利用尝试
- 补丁于美国东部时间上午 10 点发布
引语
- “据我们所知，尚未有成功的远程代码执行尝试”
- “鉴于严重性，昨晚许多组织里都有英雄”
- “这是有史以来发现的最严重的 AI 漏洞”
为什么值得看：该漏洞影响近 20 年的 PHP 版本和大量网站，已引发全球范围攻击和旧服务永久关闭，凸显 AI 降低漏洞利用门槛后的现实风险。