支撑全球七成网站的PHP突曝致命漏洞，多国政府网站紧急下线，这次危机有多严重？“拔网线”管用吗？

PHP这个漏洞，相当于你家地基里的主水管爆了，而你连总闸在哪都不知道。

9.2分。CVSS评分满分10分，这两个编号为CVE-2026-109618和CVE-2026-109619的漏洞，联手砍下了9.2。翻译成过日子的话：攻击者不需要账号，不需要密码，往服务器发一个请求，就能在你的机器上跑他自己的代码。这是PHP十多年来摊上的最严重的事，上一次有这种全球鸡飞狗跳的排面，还是2014年的Heartbleed。

一个不用登录就能动手的漏洞，到底能干什么？

换个角度，把网站服务器想象成一栋楼。正常情况下，访客只能在大厅转悠，想进机房得刷卡。这两个漏洞的狠处在于，它们卡在PHP处理每一次网页请求的必经之路上——内存管理和错误处理。楼里每扇门都归它管，而管门的人突然开始犯迷糊。

CVE-2026-109618走的是内存耗尽那条线，请求数据初始化到一半被打断，清理程序却把半成品当成正经数据来处理。CVE-2026-109619更阴，前一个请求用过的内部状态没清干净，后一个请求接手的是一份过期地图，顺着它就能走到不该去的地方。两条路最后通向同一个终点：远程代码执行。

这还不算完。安全研究者指出，漏洞同样可以被用来读取进程内存，里面躺着什么？凭证、API密钥，以及各种你不想让外人看见的串串。Malwarebytes的一位研究员说得直白，这对黑客是金矿—— hijack一个正经网站，用它的信誉发钓鱼链接、塞恶意软件，机会多到用不完。

政府网站先拔网线，是聪明还是没办法？

荷兰人第一个动手。电子身份认证DigiD、政府个人服务平台MijnOverheid、Overheid.nl，连同荷兰国家网络安全中心自己的网站，排着队下线。芬兰停了政府公共网络服务，法国把内政部管辖的地方政府行政网站全部切到维护模式，连巴黎警察局的网站都没留。加拿大的AI与数字创新部长在社交媒体上亲自宣布临时下线，澳大利亚的信号局承认自家cyber.gov.au也在受影响之列。

看上去像一场有组织的集体撤退。欧盟网络安全机构CERT-EU给的建议很干脆：能立刻打补丁就打，打不了就把对外应用从公共网络上摘下来，等修好了验证过了再挂回去。英国NCSC的措辞也差不多，修不了就先下线。

我的判断是，拔网线当然管用，但它管的是“别在补丁出来之前被人抄了后路”，不是“问题解决了”。 PHP官方自己写得很清楚：所有临时缓解措施只能堵住特定攻击路径，没有任何一条能让安装变得安全，更新才是唯一的完整答案。拔网线是止血带，不是缝合线。更何况，政府网站可以一拔了之，街角那家跑着WordPress的小店呢？那套预约洗车的小程序呢？它们没有新闻发言人替它们宣布下线。

一个编程语言出问题，凭什么让半个互联网哆嗦？

这里的关键在于PHP站的位置太要命了。W3Techs的追踪数据显示，在所有能识别出编程语言的网站里，大约75%跑的是PHP。而全世界四成以上的网站，底层引擎是WordPress，WordPress本身又跑在PHP上。这不像某个App闪退，更像是电网的频率出了偏差——你家灯泡没坏，但就是不亮。

VirusTotal做了一轮暴露面测绘，互联网上能识别出跑PHP的IP地址有510万个，其中至少75.8万个跑的是早就停止官方支持的过期版本，另有8.5万个跑着补丁发布前的最新版本。Cisco Talos的估计更让人后背发凉：大约一半的脆弱PHP系统，可能压根等不到补丁。

再往深一层，PHP官方公告列出的受影响清单是一整条流水线：PHP-FPM、Apache配mod_php、php-cgi、FrankenPHP、LiteSpeed，全部在列。风险最高的是Apache加mod_php的组合，因为已经演示成功的攻击可以在应用代码跑起来之前就触发。Drupal协会的临时CEO Tiffany Farriss对路透社说了一句大实话：过去二十年里发布的任何一个PHP版本，跑在服务器上都可能是脆的。

AI挖出了这个雷，但雷早在两年前就埋下了。

往回看，这件事最荒诞的部分不在十月二十一号那天。PHP基金会在事后声明里承认，CVE-2026-109618的线索最早浮现在2024年，PHP那几年里头一回做外部安全审计，问题已经摆上了桌，但没人动手。理由听起来甚至有点耳熟：担心破坏向后兼容，担心引入新的拒绝服务风险，担心牵动一大堆第三方扩展没法协调，安全团队靠共识运转，在几个烂选项之间反复横跳，修复工作停了又启，启了又停，拖了好几个月。

真正把盖子掀开的是AI。2026年，Anthropic和OpenAI的代码审查工具被用来扫PHP的代码库，八月份，安全公司Calif的研究者把漏洞报了上来。Wiz的团队几周后用自己的AI模型独立复现了同样的发现。OpenAI在社交媒体上给这件事定了性：这标志着AI能找出具有互联网规模影响的安全漏洞，是一个新阶段。

AI这次扮演的角色不是纵火犯，是那个拿着热成像仪走进老房子的人。它没让墙里的白蚁长出来，它只是让所有人终于看见了白蚁。真正的问题在于，看见了之后，修不修、多快修、修得起修不起，全是人的决定。

10月21号当天，补丁落地，版本号推到8.5.12、8.4.27、8.3.36和8.2.35，PHP 7.4、8.0、8.1也拿到了最小化的向后移植补丁。但Cloudflare、Patchstack、WatchTowr的传感器在同一时间捕捉到了利用尝试，攻击者盯着的是session上传进度那条路径，而且没人敢打包票说这些尝试会一直不成功。

拔网线的人终归要把线插回去。插回去的那一刻，真正决定安不安全的，不是那天关站关得多果断，而是补丁有没有落到那几百万台没人管的服务器上。互联网的韧性从来不体现在它从不出事，体现在出事之后，有多少人愿意弯下腰去拧那颗螺丝。