一场起源于底层编程语言的突发安全风暴，正迅速席卷全球互联网。
作为支撑WordPress、Drupal等平台、覆盖全球近七成网站的核心语言，PHP官方近日紧急确认了两个评分高达9.2的底层内存严重漏洞（代号“PHP2Shell”）。该事件随即演变为波及政务与商业系统的全球性断网危机。
为规避正在扩散的攻击风险，欧洲多国政府与机构采取了罕见的“预防性停机”。荷兰鹿特丹港、政府综合门户Overheid.nl、多家医院及政党网站相继下线；比利时外交部在获悉潜在攻击报道后宣布关停外网服务；德国数字事务部亦证实，其联邦政府中央IT服务商已暂停部分站点运行。
停机范围还在继续扩大。芬兰政府宣布，作为预防措施，将面向公众的互联网服务暂时下线；荷兰众议院和国家网络安全中心网站也一度无法访问。
当地媒体报道称，由于多个地方政府共同使用软件供应商Notubiz的服务，超过100个市政府、省级机构及水务机构受到影响。德国和奥地利部分高校也采取类似措施，包括维也纳大学和弗赖堡大学。
开源系统Drupal临时首席执行官更是直言，此次风险波及绝大多数网站，Drupal在部署更新期间将关闭所有直属站点。
据安全机构分析，本次暴露的CVE-2026-109618与CVE-2026-109619两项漏洞破坏力极强，攻击者无需通过任何身份认证，仅凭构造异常的HTTP请求引发内存错误，即可在应用代码执行前夺取服务器控制权。这意味着，即便上层业务逻辑毫无瑕疵，底层环境同样可能直接暴露在攻击之下。
PHP基金会安全工程师福尔克·杜施（Volker Dusch）坦言，这是该项目十余年来面临的最严峻安全考验。监测显示，受波及版本跨度甚至可追溯至早期的PHP 5.4系列。
派拓网络(PANW.O)旗下安全团队Unit 42已监测到实际利用迹象，并发现全球有超过2260万个暴露节点面临潜在威胁。Cloudflare方面也表示，已经观察到针对相关漏洞的“早期攻击”，并为通过其基础设施进行防护的客户部署了相应保护措施。
PHP官方随后确认，修复两个严重漏洞的新版本已经上线，并“强烈建议”用户立即升级。此前，欧洲计算机应急响应小组CERT-EU、英国国家网络安全中心以及澳大利亚网络安全中心均要求机构优先清点内部PHP资产，无法及时完成修复的系统应考虑暂时下线。
更令业内担忧的是，生成式AI的普及显著缩短了漏洞转化为攻击代码的时间窗口。OpenAI方面表示，其前沿模型虽然先于攻击者发现了这些弱点，但鉴于受影响面之广，这无疑是近年来危害最深的安全事件之一。
首先捕获该问题的Calif安全公司首席执行官泰·杜昂（Thai Duong）发出预警：“一旦有人借助AI逆向分析补丁并公开利用脚本，局面将迅速陷入失控。”
此次漏洞正是借助AI发现。Calif研究人员今年8月在审计PHP源代码时，利用OpenAI的GPT-5.6 Sol识别出相关问题。研究人员随后与PHP维护团队以及其他安全机构展开秘密修复。谷歌Wiz安全团队此后又独立发现了与此次漏洞相关的其他攻击路径。
整个修复工程的规模远超普通安全更新。据参与者披露，补丁涉及接近200个文件，开发人员累计编写和修改超过1万行代码。原定补丁发布日期为10月22日，但相关消息提前在Hacker News泄露后，PHP团队决定加快发布节奏。
目前，多国高层与科技巨头已进入最高戒备状态。美国白宫表示正密切跟进并协同实验室加快补丁推广；美国国家安全局（NSA）与网络安全和基础设施安全局（CISA）均敦促机构立即排查升级。日本首相高市早苗则呼吁企业从速应用修复程序，并强调“若修复困难，临时停用网站是降低风险的有效手段”。
商业巨头同样全面响应，谷歌母公司Alphabet(GOOGL.O)紧急面向云客户推送了新版容器镜像，力促用户升级至PHP 8.2及以上分支。安全团队一致强调，当前任何单一的WAF拦截或配置微调都无法彻底阻断攻击，完成内核级升级并重启服务，是阻击这场危机的唯一可靠防线。
补丁正式发布并不意味着风险立即消失。安全更新公开后，攻击者可以直接比较修复前后的代码差异，迅速定位漏洞所在，再借助AI自动生成或优化利用程序。
对网站运营方而言，补丁发布的一刻同时也是新一轮攻防竞赛的起点：防守方需要完成测试、部署和重启，而攻击者则争取在大规模升级完成之前找到仍未修复的服务器。