🐋 抹香鲸的奇妙信号

技术观察 · AI 与安全

二十年的老洞，AI 一个下午就挖出来了

2026年10月22日

📌 本文看点

一、昨晚，一批站点直接下线

先把发生了什么摆清楚。

被发现的是 PHP 语言里的两个「严重」漏洞，外界把这组漏洞叫作 PHP2Shell。真正有意思的是出事名单，它长得不像一类东西：4chan、DeviantArt、维基百科（Wikipedia），还有街角那家酒吧用来发狗照片的博客。

再往上，是机构。荷兰和芬兰的政府机构做了预防性下线，把自己的网站先关了。美国国家安全局（NSA）的网络安全账号在 X 上建议，如果没法立刻升级，就把系统下线。英国的国家网络安全中心（NCSC）给了同样的建议。连 Pokémon Home 和 Pokémon Champions 都被下线了，这条是 Kotaku 报的。

题图：Photo by Amelia Holowaty Krales / The Verge

这次的名单里没有「大厂先中枪」的顺序：维基百科和街角酒吧，排在同一支队伍里。

二、PHP 是什么，69.3% 又意味着什么

W3Techs 是一家做网站技术统计的机构，它的口径是：在所有能识别出服务端语言的网站里，有 69.3% 用的是 PHP。维基百科在里面，WordPress 也在里面。换句话说，任何一个用 WordPress 搭起来的站，都在这 69.3% 里。

VirusTotal 给的是另一个角度：它的扫描器现在登记着大约 380 万个跑 PHP 的站点，而且这些站点至少有一个端口是对外开放的。

这两个数字放在一起，才看得出问题的体量。它不是一门语言出了事故，是一层地基出了事故。

这里有个容易被忽略的点：69.3% 不是「市场占有率」，是「默认值占有率」。一个人要建站，省事的路径就是租个主机、装个 WordPress，PHP 是被这条路径顺手带进来的，从来不是被谁认真挑选过的。所以这门语言承载的，很多是「没人为它做技术决策」的站点——小博客、老官网、某个活动的落地页、一家店的菜单页。它们没有安全团队，也不会有人在半夜盯着 CVE 公告。

所以它不是时髦的语言。它是没人有理由去换掉的语言。

三、这两个洞到底长什么样

技术细节值得看一眼，因为这次的严重性不是形容词，是两个具体的错位。

一个是 CVE-2026-109618（GHSA-w8hw-w9fx-j79w），名字叫「RCE via OOM corruption」，翻过来是通过内存耗尽引发的破坏实现远程代码执行。机制是：内存耗尽会打断 PHP 的执行，而此时内部请求数据只初始化了一半；接下来的请求清理环节，会把这份无效数据当成有效数据来处理。

另一个是 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp），叫「RCE via stale global state」，通过陈旧的全局状态实现远程代码执行。机制是：本该属于某个请求的内部状态，在它背后的内存被释放之后还活着；同一个 worker 处理下一个请求时，会在正常初始化把它重置之前，就用上这份陈旧状态。

两个洞的共同点，都不是「某一行写错了」。它们是生命周期管理的错位：该等的没等到，该清的没清干净。这类 bug 的麻烦在于，它不体现在任何单点代码里，而是散落在多个阶段的交界处。你读一个函数，看不出问题；你要同时在脑子里跑完分配、初始化、清理、复用四条时间线，才可能看见它。人眼扫代码，基本扫不出来。

PHP 基金会的说法也印证了这一点：其中一个漏洞的利用方式，2024 年就「在理论上被想到过」，但「没有找到具体的利用向量，另外一些影响明确的具体问题盖过了这些担心」。

二十年的老洞不是没人看，是看见了也算不出怎么打进去。

四、AI 在这件事里做了什么

按照 OpenAI 的说法，一个叫 Calif 的 AI 安全小组，用 GPT-5.6 Sol 找出了一个「严重」级别的 PHP 漏洞。谷歌旗下的安全公司 Wiz 则独立用 AI 发现并上报了这些漏洞。两边都指向同一件事：这次的发现，是模型干出来的。

但真正值得说的，不是「AI 会找漏洞」。这句话太轻了。

把两个事实放在一起看：Wiz 说，在过去，利用这个漏洞「需要一条异常复杂的步骤链，已经贴着人类研究者实际能做到的边界」。而 PHP 基金会说，理论上想到过，但没有具体向量。

中间隔着的是什么？是「知道这里有洞」和「知道怎么打进去」之间的那道墙。这道墙过去由人来爬，爬过去的人极少，成本极高，高到大部分攻击者算完账就放弃了。模型把这道墙的爬行成本，压到了一个可以批量尝试的量级。

所以准确的说法是：AI 没有造出新漏洞。它把旧漏洞的利用成本，从「人类研究者做到极限的一次苦工」压到了「一个下午」。

漏洞的年龄没变，价格变了。

五、认领的是发现，干活的是别人

OpenAI 认领了发现。但发现之后，真正要发生的动作是打补丁，而这件事没法由模型代劳。原文有一句话说得很客气：现在得有人把这些补丁全部装上。

Cloudflare 的 CTO 昨晚说，已经看到早期攻击出现了。

这里有一条被普遍低估的不对称。攻方只要成功一次，守方要把每一个实例补完；攻方可以只挑一个软柿子，守方不能漏掉任何一个。当发现成本被压到接近零，而修复成本一分没降的时候，中间那个时间差就是全部风险所在。

而且这个时间差有个特点：它不取决于技术水平，取决于组织能力。一个有几万台服务器、十几个历史遗留系统的公司，和一个只有一台服务器的个人站长，收到的是同一条公告，做的是完全不同量级的活。

AI 把发现漏洞的价格打到了零，打补丁的价格一分没降。这个差价，就是接下来几年要还的债。

六、严重到什么程度

PHP Group 的说法很直白：基本上任何跑 PHP 的站点都有风险。

OpenAI 说，他们把这件事视为近年影响范围很广的安全问题之一。Wiz 的说法更重，把它列进软件历史上被发现的严重漏洞之列。

具体能坏到什么程度，值得说清楚。这两个漏洞允许「未认证的远程代码执行」——不需要管理员登录，不需要密码，攻击者就能跑自己的代码、改站点的内容、读取站点存储的数据。拿到服务器的完全控制权之后，里面有什么就能拿什么：密码、API key、加密证书、装着敏感信息的数据库。更进一步，他们还能在这些服务器上执行代码，把它们变成攻击其他有漏洞服务器的跳板。

「不需要登录、不需要密码」这几个字是重点。它意味着这类攻击不需要社工、不需要钓鱼、不需要谁点错一个链接。它不针对人，针对的是机器。对普通人来说这是坏消息，因为你没有任何「小心一点」的余地；对企业来说这也是坏消息，因为传统那套安全培训在这里完全不起作用。

更麻烦的是后半段：有了 AI，一个有决心的攻击者要利用这些已经公开的漏洞，会变得相对轻松。

七、你该做什么，分三种人

普通用户这边，能做的确实不多。这个漏洞影响的是跑 PHP 的服务器，并不必然直接冲着用户来，但被攻陷的站点可以被用来散播恶意软件、偷走别的有价值的数据。如果你确实想谨慎一点：去访问常用站点之前，先看它的社交账号有没有发公告。

如果你自己有站，哪怕只是一个博客，现在就该去查一下它跑的是哪个版本的 PHP。

用 Squarespace 或者 Wix 的可以放心，这两家不支持 PHP，不在这件事的范围里。

用 Hostinger、GoDaddy、Bluehost 这类虚拟主机服务的，要更小心。GoDaddy 的建议是：任何使用 PHP 的站点都应该假定自己已经受影响，尽快升级到修复版本。它还补了一句更要紧的：跑 PHP 8.1 或者更早版本的站点应该升级，因为这些版本已经不再支持，也不会有官方修复。

用托管服务的，去问你的服务商，什么时候会把补丁部署上来。

如果你在卖东西，或者服务器上存着任何敏感数据，那么在主机商补完之前，先把站关掉。

这条建议听着很重，但它其实是在算账：现在关站的成本，比明天被别人接管低。

八、收口：这次真正的信号

这件事的结论，不是「PHP 不安全」。

一门语言撑起 69.3% 的网站，撑了二十年，这是工程史上的成就，不是耻辱。真正被这次事件照出来的，是另一件事：过去很多老代码之所以安全，靠的不是它写得好，而是「没人有空去看」。现在有机器有空看了，而且看得很便宜。

这意味着互联网的隐性技术债，第一次被集中定价。以前这笔债是隐性的，摊在无数个「还能跑就先不动」的决定里；现在它有了一个价格，而且这个价格由攻击方定。

三类人要重新算账。

站长要算的是：你手上那个跑着老版本、不敢动、也没人维护的站，不是「还能跑」，是「还没被算过」。

写代码的要算的是：生命周期管理、状态清理这一类不性感的 bug，接下来会成为 AI 的长项，因为它需要的不是灵感，是把多条时间线同时在脑子里跑完的耐心，而这恰好是机器不缺的东西。以后审代码，得专门盯着「谁负责清理」这件事。

普通人要算的是：你的数字生活依赖一堆你完全不认识的站点。你不知道它们跑什么语言、什么版本、由谁维护，但你每天在用。

互联网的底座，往往不是更新更快的技术，是还没坏、所以也没人动的技术。

💬 评论区话题（来聊聊）

你手上有没有一个「跑着老版本、不敢动、也没人维护」的站，或者一个这样的项目？如果明天有人把它所有的问题一次性摊在你面前，你打算补，还是关？

🐋 关注「抹香鲸的奇妙信号」

把技术变化，翻译成你能用的判断

本文依据公开报道与技术公告整理，仅代表个人观察，不构成任何运维或采购建议；补丁与版本策略请以 PHP Group 及你的主机商公告为准。

本内容由 AI 辅助生成并经人工审定，请遵循相关法律法规及《人工智能生成合成内容标识办法》使用与传播。

END