PHP爆出重大漏洞，个人现在能做的防护清单来了 🔧 Windows电脑 设置→Windows更新 Chrome右上菜单→帮助→关于Chrome→自动更新 Edge也更新到最新版 更新完必须重启 🔧 Android手机 设置→系统→系统更新 Play商店→应用和设备管理→全部更新 Chrome和Android System WebView一定要更 Google Play系统更新也检查一遍 🔧 iPhone 设置→通用→软件更新 App Store里的app逐个更新 Safari跟着iOS更新就行 🔧 所有设备通用 陌生链接和附件别乱点 SNS和邮件里那些'紧急补丁'别信 银行、证券、邮箱开启双因素认证 更新只从官方设置或应用商店做 ⚠️ 关键点：PHP主要是服务器技术 你更新再勤快，网站方不修复PHP漏洞也白搭 网站运营商得自己去打PHP补丁 个人做好设备防御，关注官方通报就行

PHP的开发者周三披露了一项安全漏洞，黑客可利用该漏洞窃取信息，或向受害网站的访客发起攻击。PHP为全球多达70%的网站提供技术支持。本文是关于PHP的介绍以及后续进展。

PHP核心曝出两个高危未认证远程代码执行漏洞，官方紧急发布补丁 这两个漏洞被统称为 PHP2Shell，严重性评分均为 CVSS 9.2。它们允许攻击者在无需登录的情况下，在受影响的服务器上执行任意代码，还可能造成内存信息泄露。 2026年10月20日，两个PHP核心漏洞的细节提前泄露。PHP官方于10月21日紧急发布安全更新，修复这两个漏洞。 PHP 8.1 及更早版本已停止官方支持，PHP官方提供了源码级别的最小backport，但建议优先升级到受支持的分支，或向发行版/LTS供应商确认是否有补丁。 官方补丁发布前后，已有安全公司观测到野外利用尝试。目前大规模成功入侵的报告还不多，但风险窗口期正在扩大。 这是近年来PHP比较严重的一次核心安全事件。由于PHP支撑了大量网站，未及时打补丁的服务器面临较高被入侵风险。如果你管理服务器或网站，建议尽快检查并升级PHP版本。

#重要# PHP严重漏洞 PHP2Shell，修复版本预计今晚发布 如果你还在使用8.1及以前，包括自5.4起的所有版本的PHP,立刻升级到8.2以上的版本，因为更老版本可能没有补丁 可通过修改PHP配置文件php.ini，添加或调整以下配置进行临时安全加固:session.upload_progress.enabled =0 session.use strict mode=1 修改后需重启对应PHP服务，并检查业务是否正常。最终请以PHP官方 发布的安全公告及修复方案为准。

【AI爆PHP漏洞引发全球网络攻击潮：为何影响如此广泛 ？】 PHP被曝存在严重安全漏洞后，引发黑客攻击数百万次，企业和政府机构纷纷紧急修补系统，欧洲多国政府网站及公共服务平台一度下线。网安公司指出，相关漏洞潜藏在PHP代码中多年，借助AI才得以发现。 PHP诞生于20世纪90年代初，是一种广泛用于运行网站的编程语言，也是WordPress、Drupal、Joomla和Magento等网站系统的重要组成部分。由于PHP应用范围广泛，因此任何严重漏洞都可能带来巨大的连锁反应。 详细报道👉

你知道什么是PHP吗？ PHP是全球广泛使用的程式语言，最近有资安公司用AI（人工智能）工具侦测到安全漏洞，全球数百万个网站都面临风险。 PHP开发团队周三（21日）表示，修补PHP安全漏洞的更新程式已经上线，并且“强烈建议所有PHP使用者立即更新”。 同一天，台湾、日本、美国及多个欧洲国家的政府机关已发布警告，并暂时关闭政府网站，以防范可能发生的攻击。 PHP开发团队21日公布的新版程式，旨在修复两项“重大安全漏洞”。资安公司Calif与Wiz今年8月分别利用AI工具PHP的安全漏洞；PHP开发团队在修补漏洞期间，将相关资讯列为机密。 不过，消息于周二（20日）、也就是原定发布更新程式的前一天遭外流。 PHP更新程式发布前数小时，资安公司Cloudflare技术长Dane Knecht表示，骇客已开始尝试利用这些漏洞发动攻击。 PHP主要用于支撑网站后端运作，例如处理使用者输入资料、会员登入及各项线上服务等。全球约70%的网站仰赖它运作，影响范围相当广泛。各国政府、企业为避免系统遭到恶意攻击，纷纷暂时将网站下线并紧急修护；一般民众的购物、娱乐、支付等线上活动，也因而受到波及。 网页托管服务商GoDaddy指出，PHP只要存在一项漏洞，恶意攻击者就可利用漏洞，在没有密码的情况下存取伺服器，并取得网站控制权，窃取政府资料库及客户资料、窜改网站内容，甚至控制整间企业或其他线上服务。 根据发现漏洞的其中一间公司Wiz，这次被发现的重大安全漏洞，已存在超过10年，直到近期才由高端AI模型发现。 OpenAI形容，这些漏洞是“近期影响最重大的漏洞之一”，并指出，这代表一个新阶段的开始：AI能够找出可能造成网际网路大规模影响的安全漏洞。 WordPress网站安全外挂Wordfence警告，一般的自动更新机制不会自动套用新发布的修补程式。许多小型网站通常由没有专职资安人员的管理者维护，且经常使用共享主机服务，可能仍暴露于风险之中。 澳洲詹姆斯库克大学新加坡校区网路安全资深讲师Steve Kerrison表示，“AI这类工具的问题在于，一旦所有资讯公开，别人就可能非常、非常迅速地将其武器化......这就是为什么所有人都如此急迫地采取行动，处理这个问题。”

10 月 21 日，PHP 出了两个严重漏洞，OpenAI、Google Cloud、Cloudflare 同一天发公告。 PHP 是什么？为什么它出个漏洞，全世界都跟着紧张？ 做了一期 5 分钟的讲解，没有行业背景也能看懂。

吴说获悉，据 PHP 基金会公告，广泛用于网站开发的 PHP 编程语言曝出两项严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），CVSS 4.0 评分均为 9.2 分，攻击者在特定条件下无需身份认证即可控制受影响服务器。事件导致荷兰、法国、德国、芬兰等多国政府网站及维基百科部分服务于 10 月 21 日临时下线。PHP 基金会承认，开发人员早在 2024 年就发现其中一项漏洞的早期迹象，但因技术决策分歧及安全团队资源不足，修复工作长期停滞，属于“结构性失败”。今年 8 月，安全公司 Calif 与 OpenAI 独立报告了同一底层问题，进一步揭示其远程代码执行风险。PHP 已紧急发布修复版本，并敦促网站运营方立即升级。