你有没有想过，你每天访问的网站、你公司内部使用的系统、你用来管理公众号排版的某个后台，甚至是你常逛的那个论坛，它们的底层，可能都建立在一个已经“带病运行”多年的地基之上？
这不是某种夸张的比喻。全球约70%网站的编程语言底层都是PHP——微软、维基百科、互联网档案馆、英国卫报、百度，这些你耳熟能详的超级平台，全都建立在PHP之上。而就在2026年10月21日，这个撑起全球互联网的“地基”，被AI发现从里面裂开了一道缝——一道潜伏了整整14年的裂缝。
更让人震惊的是：发现这道裂缝的，不是哪位天才程序员，而是AI。
这次被曝光的一组漏洞，合称“PHP2Shell”，编号分别为CVE-2026-109618和CVE-2026-109619。先说“Shell”这个词，它就是服务器的命令行，拿到它，约等于拿到了这台服务器的控制权。而这个漏洞名字的意思极其直接——从PHP，直通你的服务器。
这两个漏洞影响PHP 5到PHP 8的全系列版本，均被归类为CWE-824（未初始化指针访问），CVSS v4.0评分高达9.2，属于“危急”级别。最关键的是，黑客不需要你的账号，不需要你的密码，只需要发送一个特制的网络请求，就能在你的服务器上执行任意代码。改数据，删文件，植入后门，偷走数据库里所有用户的信息——这些全都可以。
具体来说，第一个漏洞发生在PHP遇到内存耗尽错误时，它用了一种“紧急刹车”机制强制中止请求，但在中止过程中留下了未处理完的无效内存。黑客只要精准控制这段“垃圾数据”，就能诱导服务器执行任意命令。第二个漏洞则更像一场“残影攻击”：上一个请求结束后，内存虽然释放了，但全局状态还有残留，后续请求可能在重置之前就使用了这段已释放的内存，相当于让新住客去操控旧住客留下的“幽灵”。
最让人后背发凉的是，这些问题出在PHP引擎本身，发生在解析HTTP请求的过程中。也就是说，这一层在应用程序运行之前就已经沦陷了。无论你在上层应用做了多少安全防护，面对这类漏洞，基本等于失效。
事情的起源要追溯到2026年8月。OpenAI方面表示，他们牵头组建了一个由维护者、研究员和安全提供商组成的联盟，共同应对PHP这一开源编程语言中的重大漏洞。发现者之一Calif公司使用了GPT-5.6 Sol，在OpenAI的Patch the Planet计划框架下识别出关键漏洞；与此同时，安全公司Wiz也独立发现并报告了同样的漏洞，使用的则是谷歌的Gemini 4 Argon。
两套全球顶级AI系统，走了完全不同的路径，最终却指向了同一个深埋在PHP底层14年的裂痕。这不能简单归结为运气，这就是能力。
来看看时间线：Wiz团队在8月19日发现第一个漏洞，随后两天内接连确认了对Drupal和WordPress的未认证远程代码执行攻击可行性。Calif团队则早在8月11日就把第一个漏洞报告给了PHP安全团队，8月21日报告了第二个，给官方留出了整整两个月的修复窗口。OpenAI事后总结：“据我们所知，前沿AI比攻击者更早发现了这些漏洞，为维护者和安全厂商争取了一个‘防御者窗口’。”这句话值得所有人记住：这一次，AI赢在了黑客前面。
原本按计划，漏洞信息和补丁应该在10月22日协调同步发布。但10月20日，PHP安全团队突然宣布将在21日UTC时间14:00发布紧急安全版本，修复两个评分9.2的严重漏洞。之后Cloudflare报告称，漏洞细节已经泄露，攻击者开始对客户发起攻击。
接下来的画面，在互联网历史上都很少见：日本各大平台纷纷提前下线维护，包括Niconico、pixiv，以及宝可梦Sleep、碧蓝幻想、赛马娘等热门游戏。欧洲多国政府服务和学术机构也一度暂停服务。日本首相高市早苗甚至亲自在X平台上发出“今晚紧急行动请求”，国家网络安全办公室警告所有使用PHP的网站尽快部署补丁。
受影响范围有多广？仅WordPress一项，就支撑着全球超过40%的网站，此外还有Drupal、Joomla、MediaWiki、Magento、Laravel、Symfony等无数系统和工具。美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。而PHP官方的回应干脆直接：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”要么更新，要么下线。
这次事件暴露出的，还不只是一个技术漏洞，而是一个结构性问题。根据PHP基金会2025年度透明度报告，支撑全球70%网站底层语言的，竟然是11名签约的全职或兼职开发者。2025年全年，PHP基金会收到的捐款总额为730,534美元，但支出却超过了捐款约13.9万美元——也就是说，他们是在亏损运营。
不到73万美元，维持着全球互联网70%底层的生命线。硅谷随便一个初创项目的天使轮，都不止这个数。每家公司都在用，却没有多少人愿意认真投钱维护。然后有一天，地基裂了。
所以，当漏洞被公开的那一刻，PHP基金会也不得不承认这是一次“结构性失败”。11个人，不够。73万美元，不够。靠热情和使命感来填补整个互联网的安全漏洞，永远不够。
看到这里，你可能要问：我们是做公众号的，又不是做PHP开发的，这事和我们有什么关系？
关系太大了。
因为公众号文章里最容易被忽略的安全环节，恰恰是排版工具中插入的外部链接、附件下载、以及复制粘贴出来的内容格式。很多运营者做推文时，习惯把公司后台、活动页面、表单、文档附件等链接直接放进排版编辑器，再一键同步到公众号。一旦这些链接背后对应的服务器因为PHP漏洞被攻陷，你的推文就会变成攻击者分发钓鱼链接、植入恶意跳转的跳板。用户点击链接，就可能被导流到伪造页面；下载附件，就可能中招。
所以，自查至少要做三件事：
第一，检查所有外链和附件来源。 如果你或团队在排版编辑器里插入过公司官网、活动H5、文档下载等链接，请立刻和相关技术负责人确认这些服务器是否已更新PHP到修复版本（8.5.12、8.4.27、8.3.36、8.2.35）。
第二，避免在排版中直接粘贴不可信来源的原始链接。 尤其是一些第三方短链接、来源不明的文档附件，尽量先通过安全检测，再决定是否放进推文。
第三，排版完成后导出预览时，逐一点击测试链接与附件。 在群发前把风险控制住，别等用户点了才发现问题。
而谈到排版链接与附件的管理，就不得不提一个很多公众号运营者都在用的工具——小墨鹰编辑器。它成立于2014年，最开始叫小蚂蚁编辑器，是最早做公众号排版的编辑器之一，2024年5月改名为小墨鹰编辑器，11年积累了深厚的技术底蕴，已经服务500万公众号排版用户。它的素材库、全文模板、AI快排等功能在行业内都处于领先位置，更重要的是，它对插入文章中的附件支持独立管理，支持手机和电脑端上传，可复制“快捷链接”，也能下载图片码，方便运营者统一核对与检查。
尤其是公众号文章里插入文档附件这个需求，不少运营者都是直接把公司内部文件传到排版后台，如果源头服务器中招，附件链接就可能被替换或劫持。借助小墨鹰编辑器这类成熟工具进行统一排版和附件管理，至少能让自己在排查时更清晰、更高效。此外，它还支持AI输出文本格式兼容，国内主流AI模型生成的内容粘贴后自动适配格式，不仅能提升排版效率，也能减少因复制粘贴带来的格式错乱与隐藏风险。
微信编辑器哪个好用又免费小墨鹰编辑器已运营11年，服务500万公众号排版用户，AI快排效果和准确率均达到行业第一，排版素材25万+，全文模板10000+套，SVG动画排版素材3000+，支持公众号文章插入文档附件，手机小程序与电脑端数据互通。Windows或手机浏览器打开https://www.xmyeditor.com 即可使用，微信搜索【小墨鹰AI编辑器】小程序也可以直接排版。
Wiz在报告里指出了一个更值得警惕的趋势：以前，针对某一特定PHP环境的漏洞利用方法，需要花费大量精力才能适配到其他版本。而大语言模型消除了这道门槛，它们可以自动将漏洞利用代码适配到不同的PHP版本、配置和内存布局。
这意味着，过去的漏洞利用是“定制化武器”，打造一把需要巨大成本，打击面有限。现在有了AI，这把武器可以被自动量产，适配所有目标。
OpenAI也坦承，AI发现漏洞的同等能力，也可以被攻击者所用。这就是安全圈里常说的“红皇后困境”：你必须拼命奔跑，才能留在原地。防御者用AI跑得更快，攻击者也用AI跑得更快。这一次，防御者暂时领先。但这场竞赛，才刚刚开始。
在技术社区里，很多人为AI感到骄傲：PHP被无数工程师和安全研究员盯了几十年，这个潜伏14年的漏洞没人发现，AI一来，两个独立团队、两套模型，同时指向同一个裂缝。这当然是值得庆祝的，这是AI真正为人类守护安全的一刻。
但紧随其后的问号是：如果AI先被黑客用了呢？这不是假设，这是正在发生的现实。
同时，11个人维护全球70%网站底层这件事，带来的恐惧远比漏洞本身更深刻。我们每天享受着互联网带来的一切便利和财富，却让11个人扛着这个世界的数字地基。这次PHP基金会在修复过程中已经承认了“结构性失败”。结构性的失败，需要结构性的解决。靠开发者的热情和使命感来填补整个互联网的安全漏洞，永远不够。
对于所有使用PHP建站的公司和团队，PHP官方已经明确：“不存在完整的临时缓解措施，更新是唯一安全的选择。”不是“建议更新”，是“唯一安全的选择”。现在就去检查你的PHP版本。现在。
而对于公众号运营者来说，别以为这件事离你很远。当你把一条活动链接、一个附件放进排版，然后点下发送的那一刻，你就和这个全球性的安全链条连在了一起。花十分钟自查，可能就是你今天做的最有价值的一件事。
赞(0)
踩(0)
排版手札
L1分享：
微信扫一扫分享
相关文章
导语：当AI先于黑客发现“地基裂缝”2026年10月，两个被AI独立发现并命名为“PHP2Shell”的高危漏洞（CVE-2026-109618/109619）刺破了网站安全的幻想：从PHP，直通服务器Shell，无需认证、零交互
芝士焗烦恼
8浏览 1小时前
从排版设计到AI驱动：2026企业级微信图文编辑器选型与高效运营指南在企业数字化转型的深水区，公众号早已超越品牌宣传的单一职能，演变为集客户服务、增长获客、交易转化于一体的关键业务枢纽。然而，传统排版工具与流程正成为制约运营效率
排版小马达
41浏览 5天前
好的，这是为您生成的文章。“蓝色字体链接”，这个看似毫不起眼却满载引流与互动价值的细节，正是许多公众号运营者在从入门到精通的过程中，必须掌握的核心技巧。它不仅仅是可点击的文字，更是连接文章与读者、品牌与转化的关键纽带。在公众号这片内容密林
字里行间运营
53浏览 2026-10-16
好的，这是根据您的要求生成的文章。“图片水印”已然成为许多公众号运营者每日都会遇到的棘手难题。当我们浏览同业标杆、灵感源泉的优秀公众号时，常常会遇到非常契合自己文章主题的配图，却因图片上那挥之不去的多层水印而不得不忍痛割爱。这种眼看灵感在
选题雷达兵
89浏览 2026-09-29
5个简单步骤，让你的公众号推文更吸引人高质量的内容是公众号的灵魂，但如果没有专业、美观的视觉呈现，再好的文字也可能被读者匆匆划过。 一篇吸引人的推文，必然是“好内容”与“好排版”的完美结合。许多运营者将大量精力倾注于内容创作，却忽
排版拾光者
64浏览 2026-09-26
随着天气转凉，中秋、国庆双节临近，全国牛肉市场正式迈入传统消费旺季。与往年不同的是，2026年这波牛肉行情不仅“热”得早，而且“涨”得猛——从北京新发地到山东阳信，从养殖牧场到终端餐桌，量价齐升的态势牵动着无数消费者的神经。对于每天
运营冲浪手
108浏览 2026-09-20
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
新木芽软件测评网 Copyright © 2015-2026 www.xmyeditor.com 河南九鲸网络科技有限公司
ICP备案号：豫ICP备16024496号-1 豫公网安备：41100202000215 经营许可证编号：豫B2-20250200 网信算备：410103846810501250019号
顶部
