PHP 被发现存在一组可让黑客远程执行代码的漏洞。这门用于网站后端开发的语言支撑着全球约 70% 的网站，漏洞消息发布后，全球大量网站面临风险。
PHP 当天已针对其中两项最严重的问题发布紧急修复，但截至发稿时，仍有超过三分之一的网络处于未修补状态。PHP 运行在服务器端，而不是浏览器中，服务器执行后再把生成的 HTML 或其他动态数据发送给浏览器。
两项漏洞合称 PHP2Shell
这两项漏洞编号分别为 CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell。报道称，PHP2Shell 可让未认证攻击者在 Web 服务器上运行代码，并向用户浏览器返回异常输出。攻击甚至可能发生在网站自身代码执行之前。
官方已发布的修复版本只覆盖 PHP 8.2 及更新版本，这意味着超过三分之一的 PHP 网站最初没有可用补丁。到当天中午，针对 7.4 至 8.1 旧版本的回溯修复开始陆续推出。
不过，据一项估算，仍有超过 80 万个向数百万网站提供内容的互联网主机运行着过于陈旧的 PHP 分支，这些分支“完全不会获得修复”。
漏洞由安全研究人员在 OpenAI 资助审计中发现
报道援引信息称，一名使用 OpenAI GPT-5.6 Sol 模型的安全研究人员，在 8 月一次由 OpenAI 资助的审计中发现了这一漏洞。该研究人员来自 Calif。Calif 是 OpenAI“Patch the Planet”项目的合作方，该项目将前沿模型与资深人工网络安全审查结合起来。
Calif 首席执行官 Thai Duong 对《华尔街日报》表示，这一类漏洞在几十年前就曾被标记出来，但当时被认为过于难以利用。如今，AI 黑客已经找到了在几十次请求内接管服务器内存的方法。
Google Cloud 旗下部门 Wiz 也独立确认了这些漏洞。Wiz 联合创始人将 PHP2Shell 称为“有史以来发现的最严重的 AI 漏洞”，并表示这类问题“人类可能根本不会发现”。
Cloudflare 与多国机构采取应对措施
Cloudflare 首席技术官 Dane Knecht 表示，针对所有客户（包括免费套餐）的实时利用路径都已出现。这家网站缓存服务商在一夜之间先行部署了临时应急措施，数小时后又宣布了更多补丁。
漏洞影响已扩散到多个国家。芬兰国家 IT 中心出于预防目的关闭了部分政府网络服务。荷兰方面，NotuBiz 为地方政府提供的议会信息网站下线，随后 MijnOverheid 和荷兰议会网站也受到影响。
Walter Bloomberg 在 X 上转发的信息还显示，法国在等待 PHP 修复期间，临时关闭了部分省政府网站。
已修复版本与未修复存量
已发布补丁的 PHP 版本包括 8.5.12、8.4.27、8.3.36 和 8.2.35。
不过，仍有 27% 的 PHP 网站运行 PHP 7，另有 7.7% 运行 PHP 5，这些版本仍未修复。GoDaddy 已敦促客户升级。