PHP2Shell是两个严重的PHP漏洞——CVE-2026-109618和CVE-2026-109619——的统称。2026年10月，这两项漏洞的披露迅速引发紧急修补行动。由于PHP据报道支撑着约70%的网站，潜在影响范围受到广泛关注。不过，这个比例并不是已确认存在漏洞的网站数量；同样，检测到攻击尝试，也不能说明有多少系统真的被攻破。4922

PHP2Shell可能造成什么影响？

漏洞存在于PHP本身，而不是某个特定网站或内容管理系统。新加坡网络安全局将其中一项描述为内存耗尽处理漏洞，另一项则属于释放后使用漏洞；两者都可能让未登录的远程攻击者在受影响系统上执行代码。4

简单来说，攻击者可能不必先登录，就能诱使存在漏洞的服务器执行命令。据报道，这两项漏洞的严重性评分为9.2分（满分10分）。49

PHP据称被约70%的网站采用，这有助于理解事件为何引起高度关注，但不能据此推断70%的网站都存在漏洞。PHP使用广泛意味着潜在影响面大；实际风险还取决于系统部署情况和所使用的PHP版本。4914

AI辅助发现，随后紧急发布补丁

公开报道说，网络安全公司Calif在8月进行审计时发现了一项漏洞；这项审计由OpenAI的“Patch the Planet”计划资助，并使用了OpenAI的GPT-5.6 Sol。Wiz Research也介绍了其研究过程中使用Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol。现有报道支持将这一过程称为“AI辅助发现”，但不能证明漏洞发现和验证完全由AI自主完成。1925

PHP项目于10月21日发布修复版本。SecurityWeek报道称，漏洞编号在前一天已经开始流传，PHP因此比原定披露时间提前一天发布补丁。62据报道，修复版本包括PHP 8.2.35、8.3.36、8.4.27和8.5.12。62

为什么一些网站会暂时下线？

一些机构选择暂时关闭服务，以便检查系统或安装补丁。BBC报道称，政府门户网站、游戏平台和在线论坛等服务受到影响；芬兰政府、爱丁堡市议会、BBC的部分页面，以及荷兰网络安全机构的网站或页面也曾下线。49

这些中断反映了应急处置带来的运营影响，但单凭服务下线，并不能证明相关网站已经遭到入侵。BBC还报道称，美国国家安全局建议，若机构无法立即安装补丁，应将PHP系统下线。49

攻击尝试不等于已确认的入侵

据Nextgov报道，Cloudflare首席执行官马修·普林斯表示，在漏洞公开前的数小时内，公司网络检测到数千次攻击尝试；公开后的两小时内，次数升至数十万，并随着时间推移达到数百万。22这些数字统计的是尝试利用漏洞的活动，并非已核实的成功入侵数量。

现有报道没有提供可靠的已确认入侵总数。潜在暴露范围估算、自动化请求、蜜罐记录和成功入侵是不同的指标，不能合并成一个“被攻破系统”的数字。

“黑色十月”指什么？又不意味着什么？

“黑色十月”是对2026年10月一系列安全披露和事件的概括性称呼。PHP2Shell是其中受到广泛关注的一部分，但现有报道并未证明这些事件是一场协调一致的全球攻击。11114

目前有证据支持的结论是：PHP出现了严重安全警报，运营方紧急修补系统，一些机构为降低风险而暂时中断服务。但不能把PHP约70%的使用比例当作已确认的受影响比例，也不能把攻击尝试次数当成大规模系统失陷的证据。

对网站运营者而言，眼下最实际的做法是检查服务器使用的PHP运行环境，并升级到适用于当前版本的修复版本。据报道，修复版本覆盖PHP 8.2至8.5；仅更新网站或内容管理系统，并不意味着底层PHP运行环境也已更新。1462

PHP2Shell是两个严重的PHP漏洞——CVE-2026-109618和CVE-2026-109619——的统称。2026年10月，这两项漏洞的披露迅速引发紧急修补行动。由于PHP据报道支撑着约70%的网站，潜在影响范围受到广泛关注。不过，这个比例并不是已确认存在漏洞的网站数量；同样，检测到攻击尝试，也不能说明有多少系统真的被攻破。4922

PHP2Shell可能造成什么影响？

漏洞存在于PHP本身，而不是某个特定网站或内容管理系统。新加坡网络安全局将其中一项描述为内存耗尽处理漏洞，另一项则属于释放后使用漏洞；两者都可能让未登录的远程攻击者在受影响系统上执行代码。4

简单来说，攻击者可能不必先登录，就能诱使存在漏洞的服务器执行命令。据报道，这两项漏洞的严重性评分为9.2分（满分10分）。49

PHP据称被约70%的网站采用，这有助于理解事件为何引起高度关注，但不能据此推断70%的网站都存在漏洞。PHP使用广泛意味着潜在影响面大；实际风险还取决于系统部署情况和所使用的PHP版本。4914

AI辅助发现，随后紧急发布补丁

公开报道说，网络安全公司Calif在8月进行审计时发现了一项漏洞；这项审计由OpenAI的“Patch the Planet”计划资助，并使用了OpenAI的GPT-5.6 Sol。Wiz Research也介绍了其研究过程中使用Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol。现有报道支持将这一过程称为“AI辅助发现”，但不能证明漏洞发现和验证完全由AI自主完成。1925

PHP项目于10月21日发布修复版本。SecurityWeek报道称，漏洞编号在前一天已经开始流传，PHP因此比原定披露时间提前一天发布补丁。62据报道，修复版本包括PHP 8.2.35、8.3.36、8.4.27和8.5.12。62

为什么一些网站会暂时下线？

一些机构选择暂时关闭服务，以便检查系统或安装补丁。BBC报道称，政府门户网站、游戏平台和在线论坛等服务受到影响；芬兰政府、爱丁堡市议会、BBC的部分页面，以及荷兰网络安全机构的网站或页面也曾下线。49

这些中断反映了应急处置带来的运营影响，但单凭服务下线，并不能证明相关网站已经遭到入侵。BBC还报道称，美国国家安全局建议，若机构无法立即安装补丁，应将PHP系统下线。49

攻击尝试不等于已确认的入侵

据Nextgov报道，Cloudflare首席执行官马修·普林斯表示，在漏洞公开前的数小时内，公司网络检测到数千次攻击尝试；公开后的两小时内，次数升至数十万，并随着时间推移达到数百万。22这些数字统计的是尝试利用漏洞的活动，并非已核实的成功入侵数量。

现有报道没有提供可靠的已确认入侵总数。潜在暴露范围估算、自动化请求、蜜罐记录和成功入侵是不同的指标，不能合并成一个“被攻破系统”的数字。

“黑色十月”指什么？又不意味着什么？

“黑色十月”是对2026年10月一系列安全披露和事件的概括性称呼。PHP2Shell是其中受到广泛关注的一部分，但现有报道并未证明这些事件是一场协调一致的全球攻击。11114

目前有证据支持的结论是：PHP出现了严重安全警报，运营方紧急修补系统，一些机构为降低风险而暂时中断服务。但不能把PHP约70%的使用比例当作已确认的受影响比例，也不能把攻击尝试次数当成大规模系统失陷的证据。

对网站运营者而言，眼下最实际的做法是检查服务器使用的PHP运行环境，并升级到适用于当前版本的修复版本。据报道，修复版本覆盖PHP 8.2至8.5；仅更新网站或内容管理系统，并不意味着底层PHP运行环境也已更新。1462