支撑全球约七成网站运行的编程语言 PHP，本周被曝出两个严重安全漏洞。攻击者无需任何登录凭证即可远程执行恶意代码、接管服务器——包括政府机构、企业和数以百万计的普通网站。漏洞代号“PHP2Shell”，是过去一年全球互联网面临的最严峻安全警报之一。

澳洲联社（AAP） 报道称，澳大利亚信号局（ASD）下属的澳大利亚网络安全中心（ACSC）已发布最高等级的“严重警报”（Critical Alert），要求所有组织立即清查自身环境中运行的 PHP 实例并准备安装补丁。具有讽刺意味的是，ASD 自己的官方网站 cyber.gov.au 也一度因这一漏洞受到影响，在声明发布后数小时内无法访问。

漏洞有多严重？

据 悉尼《邮报》 披露，两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，CVSS 严重性评分均高达 9.2 分（满分 10 分）。它们允许未经身份验证的攻击者远程执行代码，且影响范围覆盖自 PHP 5 以来发布的所有版本——这意味着一个潜伏多年的底层缺陷，刚刚被彻底公开。

PHP 并非某种小众工具。它是 WordPress、维基百科等平台的底层语言，是“互联网的骨架”。一旦漏洞被大规模利用，攻击者理论上可以批量扫描并接管全球数以百万计的网站。安全研究机构 SlowMist 的统计显示，仅加密货币相关的域名中就有 793 个可直接检测到 PHP 指纹，暴露面之广令人咋舌。

更关键的一点是：利用这些漏洞不需要钓鱼邮件、不需要用户点击任何链接。服务器本身直接暴露在攻击之下，这使得它们远比普通的诈骗类攻击更加危险。

攻击已开始：全球机构紧急下线

据 保险商业杂志 报道，漏洞公开数小时内就有攻击者开始尝试利用。安全公司 Hadrian 报告称，攻击已进入规模化阶段，主要经由 PHP 的会话上传进度（session upload progress）路径；Patchstack 确认了多起真实利用事件；Cloudflare 也监测到早期攻击流量。不过，截至 10 月 21 日，ASD 尚未发现针对澳大利亚境内组织的实际攻击，美国 CISA 也尚未将这两个漏洞列入“已知被利用漏洞”目录。

政府机构的反应则极为迅速。新华社经由自由今日马来西亚 报道，受影响的澳大利亚政府网站包括税务局、卫生部以及通信与媒体管理局。新南威尔士州政府已暂时关闭了多处官方网站，网络安全事务部长 Jihad Dib 证实这是预防性措施，并强调目前没有机构报告信息泄露。联邦内政部长 Tony Burke 的发言人表示，多个政府网站“暂时无法访问”，相关风险缓解工作正在进行。

全球其他国家同样高度戒备：芬兰政府服务机构 Valtori 出于预防关闭了政府服务；新加坡网络安全局发布专门警报；日本首相高市早苗公开回应，日本多处托儿中心系统和在线游戏服务也预防性下线。甚至在线教育平台 Moodle 也主动让网站下线，主机商 VentraIP 则限制了上传功能。

目录

  1. “结构性失败”：补丁为何推迟了两年
  2. AI 如何发现了这个漏洞
  3. 受影响的用户现在该做什么
  4. 常见问题

“结构性失败”：补丁为何推迟了两年

此次事件最引人注目的情节之一，是 PHP 基金会自己承认了责任。据报道，基金会发表声明称：“我们不会假装情况并非如此：这次延迟是一次结构性失败，既源于安全团队的决策流程，也源于资源不足。”

据 Zubiqo 报道，相关漏洞早在 2024 年就已被发现，但由于核心维护团队规模太小、担心修复动作会破坏庞大的 PHP 生态系统（全球数十年积累的“技术债”），修复工作一直被搁置。直到 8 月 11 日，安全公司 Calif 与 OpenAI 各自独立证明了存在“无条件远程代码执行”路径，补丁工作才被真正推动起来。

这暴露出一个长期隐患：支撑全球互联网的关键开源基础设施，往往由极少数志愿者维护。当维护者与整个互联网的风险规模完全不对称时，类似的“结构性失败”几乎注定会重复发生。这一背景也与本月早些时候被披露的 OpenAI 模型自主黑客事件 形成呼应——自动化工具正在让漏洞的发现与利用同时加速。

好消息是，PHP 基金会已发布针对 7.4、8.0 和 8.1 版本的补丁源码，Red Hat 与 AlmaLinux 也将修复向后移植到已停止官方支持的旧版本分支，为无法升级的老旧站点提供了一条生路。

AI 如何发现了这个漏洞

据 AAP 报道，这一漏洞的发现本身就带有时代特征——它是由人工智能工具挖掘出来的。AI 辅助的代码审计正在成为安全研究的新常态：机器可以不知疲倦地扫描数百万行代码，找出人类审计者容易忽略的深层逻辑缺陷。

但硬币的另一面是：攻击者同样可以使用 AI 来开发和自动化利用代码。这正是法国 24 小时新闻台（France 24）提出的问题——AI 正在同时放大攻防两端的能力。在这样的环境下，像这次这样“基础设施级”漏洞的披露与补丁竞赛，只会越来越频繁。欧洲此前发生的 丹麦国家登记系统遭入侵事件 与 法国社会党网络攻击事件 已经说明，政府与大型组织正成为攻击的优先目标。

受影响的用户现在该做什么

ACSC 的官方建议非常直接：

  • 立即清查环境：找出所有运行 PHP 的服务器、虚拟主机和应用，确认版本是否受影响。
  • 应用官方补丁：在补丁可用后第一时间安装；对于已停止支持的版本，采用 Red Hat / AlmaLinux 的向后移植版本。
  • 考虑临时隔离：如果短期内无法打补丁，可参照芬兰和新南威尔士州的做法，暂时下线非核心服务，或限制上传、会话等高风险功能。
  • 监控异常日志：注意会话上传进度接口的异常请求，这是目前观测到的主要攻击路径。

对普通用户而言，好消息是无需恐慌性操作，但近期登录重要账户时应警惕异常——被攻陷的网站可能被用来窃取凭证或传播恶意软件。各国政府也在协调更广泛的响应：印度总理莫迪此前提出的 全球网络诈骗治理框架，正试图在跨国层面应对这类系统性风险。

关键要点

  • 漏洞规模空前：两个 CVSS 9.2 分的漏洞，影响自 PHP 5 起的所有版本，约七成网站暴露。
  • 利用门槛极低：无需登录凭证即可远程执行代码，无需钓鱼、无需用户交互。
  • 政府网站成重灾区：澳大利亚、新西兰、芬兰、日本、新加坡等多国政府机构紧急下线或发布警报。
  • 攻击已经开始：多家安全公司确认真实利用事件，规模正在扩大。
  • 补丁迟到了两年：PHP 基金会承认“结构性失败”，漏洞自 2024 年就已知晓。

常见问题

PHP2Shell 漏洞是什么？

PHP2Shell 是安全研究人员为此次披露的两个 PHP 严重漏洞起的代号（CVE-2026-109618 和 CVE-2026-109619）。它们允许攻击者在没有任何登录凭证的情况下，向运行 PHP 的 Web 服务器发送特制请求并远程执行任意代码，从而完全接管服务器。

普通网站管理员是否需要担心？

是的。如果你的网站运行在 PHP 上（绝大多数 WordPress 站点都是），且尚未安装补丁，你的服务器可能被远程接管。建议立即检查 PHP 版本并应用官方补丁；若暂时无法更新，应限制上传与会话相关功能，或将非核心服务暂时下线。

澳大利亚政府网站是否被入侵？

截至目前没有证据表明任何澳大利亚政府机构发生数据泄露。新南威尔士州政府关闭网站是预防性措施，ASD 表示其自己的网站只是“可能受到影响”，并已恢复在线。网络安全部长 Jihad Dib 证实，没有任何机构向 Cyber Security NSW 报告信息外泄。

为什么补丁拖延了两年之久？

PHP 基金会承认，漏洞最早在 2024 年就已被发现，但核心安全团队人手不足，且担心修复会破坏依赖旧版本 PHP 的庞大生态系统，因此迟迟未能发布补丁。直到安全公司 Calif 和 OpenAI 在 2025 年 8 月各自独立证明了可被无条件利用的攻击路径，紧急补丁才得以推出。