10 月 21 日，一场波及全球互联网的安全警报拉响 ——
在荷兰，鹿特丹港、政府门户网站 Overheid.nl、荷兰足协、全国五大政党的官网以及多家医院网站，跟随国家网络安全中心的做法主动下线。在芬兰，国家 IT 服务机构 Valtori 以 " 预防措施 " 为由，将政府公共网络服务整体下线。法国内政部临时关闭了地方政府行政网站，等待安全补丁发布。就连澳大利亚信号局（ASD）在内的澳大利亚政府网站也受到影响，部分网站因风险处置暂时无法访问。
这些网站大多不是被黑客攻破的，而是出于预防，主动 " 拔了网线 "。原因只有一个 ——PHP 出事了。
01|PHP2Shell 是什么？影响为何如此严重？
PHP 是全球使用最广泛的服务端编程语言。据 W3Techs 统计，在可识别服务端语言的网站中，约 70.5% 使用 PHP。WordPress、Joomla、Drupal 以及维基百科背后的 MediaWiki，都是基于 PHP 构建的。10 月 21 日，PHP 官方紧急发布安全更新，修复两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619，业内统称 "PHP2Shell"。PHP 官方确认两者均可导致无需认证的远程代码执行，CVSSv4.0 评分均为 9.2，并表示升级是唯一安全的选择。
这次漏洞的危险之处主要有三点。
第一，漏洞利用不依赖应用代码中的缺陷。哪怕只是一个简单的 "Hello World" 程序，只要运行在受影响的 PHP 版本上，也可能存在风险。也就是说，你的业务代码写得再严谨，地基不稳，房子照样危险。
第二，攻击门槛低，覆盖面广。PHP 官方表示，所有处理 Web 请求的 PHP 安装都面临风险，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。一个匿名 POST 请求就能让 Apache mod_php 工作进程启动 shell 并执行攻击者指定的命令，全程无需认证、无需会话，也不需要应用存在漏洞。
第三，影响版本跨越十余年。过去十年发布的每一个 PHP 版本都至少受其中一个漏洞影响，最早可追溯到 PHP 5.4。
除了远程代码执行，攻击者还能 " 偷看 " 服务器内存。这部分内存中可能包含其他请求或服务器自身的密码、认证令牌、API 密钥和证书。
02 | 窗口期急剧缩短，你的企业可能就是下一个目标
以往，企业从获知漏洞到完成修复，多少还有一段排查和准备的时间。这一次，缓冲期几乎消失了。
PHP2Shell 原定 10 月 22 日公开，但信息在 10 月 20 日提前泄露，PHP 基金会只能将补丁提前一天发布。补丁还没上线，PoC 利用代码就已开始流传；watchTowr、Hadrian、Patchstack、Cloudflare 等多家安全机构先后观测到在野攻击尝试。此前有安全公司预计，大规模攻击会在补丁发布后 15 分钟内开始。AI 还在进一步压缩这个时间：大模型可以帮助攻击者把漏洞利用代码快速适配到不同的 PHP 版本、配置和内存布局，大幅降低规模化攻击的门槛。
截至目前，公开报道中尚无经确认的成功入侵案例，但攻击者已经开始挨家挨户地试探。据 VirusTotal 估算，暴露在互联网上的 PHP 主机超过 510 万台。以下几类企业尤其需要警惕：
有官网、商城、论坛或内容站的企业：研究人员已在 WordPress、Drupal、Joomla、Magento、phpMyAdmin、Nextcloud、Laravel 等应用上演示了无需认证的远程代码执行。网站一旦被控制，就可能沦为黑客的工具，被用来借助网站的信誉钓鱼，或通过这个可信渠道分发恶意软件。
仍在使用老版本 PHP 的企业：使用 PHP 的网站中，近四成仍停留在 PHP 7 及更早版本，再加上同样已停止维护的 PHP 8.0、8.1，大量网站已无法获得官方更新。
以为 " 系统没报警就没事 " 的企业：恶意请求在应用代码执行之前就已被 PHP 处理，应用层的登录鉴权根本拦不住。服务器上可能只留下一条内存超限的报错日志，而这类报错通常被当作噪音忽略。
如果你是企业负责人，不妨问问自己：公司有多少网站和业务系统跑在 PHP 上？从排查、测试到完成升级，需要多久？在攻击者找上门之前，我们能不能准备好？
如果你对这些问题的回答是 " 不确定 "，那么你的企业需要的不只是一个补丁，还需要一道全天候在线、能自主运行的安全防线。
03|AI 深度参与，PHP2Shell 成 " 分水岭 "
PHP2Shell 之所以引发全球关注，除了危害本身，还因为 AI 在漏洞的发现和利用验证中发挥了关键作用 ——
安全公司 Calif 在 8 月 1 日发现了第一个漏洞，并于 8 月 11 日报告给 PHP；8 月 19 日，Wiz 研究团队借助 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 也独立发现了漏洞……
Wiz 在报告中写道，这些缺陷已在 PHP 中潜伏十余年，过去要证明其可利用性，需要极其复杂的攻击链，几乎触及人类研究员的能力极限，而前沿 AI 模型大幅降低了这一门槛。借助前沿 AI 模型和合适的工具，单个研究员在一周内就完成了过去需要世界级团队数月才能完成的工作。PHP 基金会也表示，AI 已帮助发现了比以往更多的 PHP 漏洞，自 7 月 1 日以来已有 15 个新 CVE 发布。
而另一方面，大模型可以帮助把漏洞利用代码适配到不同的 PHP 版本、配置和内存布局，显著降低在不同部署环境中规模化发起攻击的门槛。这意味着，漏洞从被发现到被武器化的周期正在急剧缩短，" 补丁一出就被打 " 可能会成为新常态。
04 | 以 AI 对抗 AI，守住补丁空窗期
AI 正在同时武装攻击者和防御者。在这场速度的较量中，谁先发现、谁先行动，谁就掌握主动。鉴于此次事件可能对广大政府、企业带来的巨大影响，360 安全云迅速响应，发布解决方案，助力政企单位抢在攻击窗口关闭前筑牢安全防线 ——
兼容 724 保：AI 数字人驱动 7×24 小时防护，实时守护企业网络
面对 PHP2Shell 这类新型漏洞，AI 数字人可在分钟级完成研判，实时捕获利用该漏洞发起的攻击行为，并快速联动云端实时值守的 360 安全专家处置，分钟级拦截攻击。让各类漏洞利用和攻击行为被实时发现、快速阻断。
网站保：为企业网站紧急止损 PHP 承载着大量企业网站和线上业务。网站保可精准区分正常用户访问与自动化攻击流量，在保障正常访问的同时，将针对网站的各类攻击拦截在业务之外，为企业升级补丁争取宝贵时间。
体检保：抢在攻击者之前发现漏洞 AI 体检数字人常态化地对网站和业务系统进行安全体检，帮助企业先于攻击者发现业务中的各类潜在漏洞，不让 " 下一个 PHP2Shell" 成为突破口。
升级到官方修复版本是根本之策，但在补丁真正落地之前，企业还需要一道能立刻顶上的防线。如果条件允许，请立即把 PHP 升级到官方已修复版本：
PHP2Shell 不会是最后一个。当 AI 让漏洞的发现、验证乃至武器化都以周、甚至以小时计算，安全就不再是一次性的 " 打补丁 " 工程，而是一场持续的速度竞赛。对企业而言，真正的底气不在于永远不出现漏洞，而在于漏洞出现时，能比攻击者更早发现、更快行动。这正是 360 安全云坚持 " 以 AI 对抗 AI" 的初衷：让每一家企业，无论规模大小，都能拥有全天候在线的安全能力，把安全从被动应急，变成业务稳健运行的底座。在 AI 重塑攻防的时代，守护好每一个网站、每一份数据，就是守护企业的信誉与未来。
免责声明：本文为本网站出于传播商业信息之目的进行转载发布，不代表本网站的观点及立场。本文所涉文、图、音视频等资料之一切权力和法律责任归材料提供方所有和承担。本网站对此咨询文字、图片等所有信息的真实性不作任何保证或承诺，亦不构成任何购买、投资等建议，据此操作者风险自担。