北京时间10月21日约21:45，PHP官方发布4个修复版本，堵上两个9.2分的严重漏洞，用PHP搭网站的站长现在就该升级。同时公开的细节显示，其中一个缺陷2024年的安全审计就查到过，因为证明不了能被利用一直没修，直到今年8月AI帮研究者把它变成了能用的攻击。本文信息来自PHP官网10月21日的安全通告，OpenAI官方博客、安全公司Wiz和Cloudflare的技术博客，PHP基金会的长篇声明（据网络安全媒体The Record转述），以及SecurityWeek、CNBC、TechCrunch的报道和维基媒体基金会的公告。文中时间均为北京时间，信息截至22日02:20。
从“查到”到“修好”：PHP2Shell漏洞时间线（北京时间）。来源：SecurityWeek、PHP基金会声明（据The Record）、Wiz博客、PHP官网、CNBC，本号制图补丁到了，攻击尝试也到了上一篇我们写到PHP预告21日22:00发补丁。据CNBC报道，修复版本在21:45左右就已上线，版本号是8.5.12、8.4.27、8.3.36和8.2.35，和研究者此前的预计一致。8.1及更早的版本官方已停止维护，这次PHP安全团队破例给7.4、8.0、8.1提供了最小的源码补丁，面向自己从源码编译的用户。
PHP官网的态度很明确：所有处理网络请求的PHP都在风险范围内，Apache的mod_php方式风险最高，临时设置只能挡住部分攻击路径，“更新是唯一安全的选择”。
攻击者没有等。SecurityWeek报道，安全公司watchTowr差不多在补丁上线的同时，第一次在自家监测设备上看到真实的攻击尝试，暂时没有成功的。该公司威胁情报负责人Jake Knott的判断是：“Whilst nobody has been successful to date, we don't expect that will last long.”（目前还没人得手，但我们不认为这会持续太久。）Cloudflare在博客里说，它从21日11:02起给免费和付费用户默认开启了防护规则，也看到攻击者在不断变换手法想绕过去。
维基媒体基金会则把Toolforge、Cloud VPS等不少配套服务主动下线，等修补完再恢复，并提醒维基站点在此期间可能出现中断。
一个查到了却没修的漏洞这次最反常的，是漏洞的“身世”。
据SecurityWeek报道，参与发现的安全公司Calif称，最初那个内存不足（OOM）缺陷2020年就有人发现，2024年PHP外部安全审计时又被查到一次，但因为没法证明能被利用，一直没修。PHP基金会在声明里承认，团队当时卡在兼容性、新的拒绝服务风险和第三方扩展的取舍上，核心开发人手也少，加上没有已知的远程执行路径，修复工作“反复停滞、重启”。
转折在今年8月。8月11日，Calif和OpenAI各自独立报告了这个能从内存不足一路打到远程执行代码的问题，PHP基金会说从那天起这成了安全团队的头号任务。Wiz的时间线显示，它在8月19日用自家的Wiz Atlas以及谷歌Gemini 4 Argon、OpenAI GPT-5.6 Sol找到第一个漏洞，第二天就在Drupal上演示了无需登录的远程执行，8月24日报告给PHP。Wiz称，借助前沿AI模型，一名研究者用一周完成了过去顶尖团队要做几个月的工作，这是该公司的说法。
PHP官网10月21日发布的安全通告（局部）。图源：php.net，本号截图
Jake Knott（watchTowr威胁情报负责人）的判断，据SecurityWeek北京时间10月22日00:50报道；原文照录一句，译文为本号翻译；本号制图AI帮了忙，也抬高了风险OpenAI在官方博客里称，这是“近年影响最大的安全问题之一”，并表示据其所知，是前沿AI抢在攻击者之前找到了这些漏洞。它还预计，未来几个月类似的发现会急剧增加，并承诺拿出10亿美元，补贴安全资源有限、保护基本服务的机构使用其面向防守方的Daybreak服务。
另一面也写在Wiz的博客里：过去很难利用的内存漏洞，现在大模型可以帮着把攻击代码适配到不同版本和配置上，门槛对防守方和攻击方是同时降低的。PHP基金会也提到，7月1日以来，AI帮忙发现的问题明显变多，已经公布了15个新的漏洞编号。
披露过程也没按计划走。据SecurityWeek和The Record，漏洞原定22日公开，20日信息提前泄露，官方提前一天发布；Calif误发了一段演示视频，删掉后仍在流传；Chainguard在协调发布前约6小时放出了含修复的镜像，PHP基金会批评这让攻击者能提前研究补丁，Chainguard未回应。
还有多少网站补不上The Record援引VirusTotal的分析：约510万个联网IP在运行PHP，其中至少75.8万个是已停止维护的版本。这是暴露在网上的规模，不等于这些都已确认存在漏洞。思科Talos估计，约一半存在漏洞的PHP系统可能得不到补丁。
这次PHP漏洞的几个数字。来源：PHP官网；VirusTotal分析、思科Talos估计均据The Record；Wiz博客。本号制图对站长来说，WordPress已经声明问题不在WordPress本身，站点需要升级服务器上的PHP，用虚拟主机的要找托管商确认；自己管服务器的，按官网版本升级；还停在8.1及更早版本的，该考虑整体迁移。普通网民这边，Wiz提到漏洞可被用来读取服务器进程内存，里面可能有密码、令牌等信息；常用网站如果发出安全通知，按提示操作即可。
本号看来，这次最值得记住的是顺序：缺陷早就被人看到，却因为“证明不了能被利用”一直排不上队；AI把证明这一步大大提速，修复才被推到第一位。同样的能力也在攻击者手里，以后从公布到被攻击的时间只会更短。
本文由AI辅助整理撰写，经人工核对修改
来源：PHP官网安全通告（2026年10月21日）；OpenAI官方博客《Patch the Planet: global response coordination as agents uncover critical vulnerabilities》（2026年10月21日）；Wiz博客《PHP2Shell》（2026年10月21日）；Cloudflare博客（2026年10月21日）；PHP基金会官方博客（2026年10月21日）；The Record（Jonathan Greig，2026年10月21日）；SecurityWeek（Ionut Arghire，2026年10月21日）；CNBC（2026年10月21日）；TechCrunch（Julie Bort，2026年10月21日）；维基媒体基金会Diff博客（2026年10月21日）。
作者提示: 内容由AI生成不喜欢北京时间10月21日约21:45，PHP发布4个修复版本，堵上两个9.2分严重漏洞，补丁前后已见攻击尝试。其中一个缺陷2024年审计就查到，因证明不了能被利用而搁置，今年8月AI帮研究者证明能远程执行代码后才成为首要任务。
Securityadvisory:Criticalremotecodeexecutionvulnerabilities210ct2026updatenow"PHPticitiesctexecution.AllPHPusersarestronglyencouragedtoupdateimmedia