两个 PHP 严重漏洞合称 PHP2Shell（CVE-2026-109618 和 CVE-2026-109619），攻击者无需密码即可在服务器上执行代码。补丁于 10 月 21 日发布，但事后复盘显示攻击开始得更早。
已知情况
漏洞由安全公司 Calif 发现。起初被认为无法利用，后来研究人员找到了攻击方法并通知了 PHP 基金会。基金会组织了保密的禁运期，让大型企业和托管商提前打补丁。WordPress、Drupal、Joomla，以及支撑维基百科的 MediaWiki 都在受影响范围内。文章估计，约 70% 的网站依赖 PHP。
哪里出了问题
亚马逊在补丁公开前约一周就发现了利用尝试，并建议防守方从 10 月 17 日起排查痕迹。可能的解释包括禁运期间泄露、他人独立发现，或间谍活动。基金会指责某家公司在禁运结束前数小时就发布了修复。截至周五晚间，Palo Alto Networks 和 Trail of Bits 已确认有系统被入侵，Cloudflare 则称披露后攻击尝试急剧上升。
AI 的作用
Calif 表示 AI 协助了漏洞利用，但主要靠研究人员自身的经验。他们认为，至少目前还没有模型能靠简单提示找出所有漏洞。
该怎么做
银行、商店和医院都曾下线服务器进行更新。小团队、独立开发者和内嵌 PHP 的产品更新最慢，一些老旧系统可能永远不会更新。实际建议：升级 PHP，并检查 10 月 17 日以来的日志。