当前全球大约七成网站都采用 PHP 作为后端开发语言，近期这款主流编程语言被曝出两项高危远程代码执行漏洞，本次漏洞是由 AI 技术率先挖掘发现，提前锁定风险隐患，给全球网站运维人员留出充足的修复窗口期，大幅降低了大规模网络攻击带来的影响。本次被命名为 PHP2Shell 的两个高危漏洞，CVSS 评分达到 9.2 分，攻击者在无需账号密码的前提下，就可以远程在服务器执行任意恶意代码，风险等级极高。整个漏洞发现周期里，安全研究团队依靠大模型对 PHP 完整源代码做自动化审计，成功找出已经在代码库潜伏多年的隐患；研究团队还提前和 PHP 开发团队同步信息，在漏洞细节对外公开前完成补丁开发，保障全球网站可以有序完成版本升级，把网络风险控制在最低水平。

一、漏洞基础信息明细清单

  1. 漏洞统称：PHP2Shell
  2. 漏洞编号：CVE-2026-109618、CVE-2026-109619
  3. 风险等级：高危，CVSS v4.0 评分 9.2 分
  4. 漏洞成因：PHP 底层内存管理机制存在缺陷，可触发内存损坏，实现无认证远程代码执行
  5. 受影响范围：全球约 70% 使用 PHP 搭建的网站，覆盖 WordPress、Drupal 等主流建站程序
  6. 发现工具：GPT-5.6 Sol 大模型，由安全团队 Calif 完成自动化代码审计

二、AI 优先发现漏洞的完整实施步骤

第一步：搭建自动化代码审计环境

安全团队将 PHP 开源代码库完整导入 AI 大模型，配置代码漏洞检测规则，把远程代码执行、内存溢出等高危缺陷设置为重点检测项，开启全量代码自动扫描任务。

第二步：AI 自动识别隐藏代码缺陷

大模型逐行解析底层源码，自动识别内存分配、异常处理模块里的逻辑漏洞，精准定位两处长期潜伏的代码隐患，同时自动生成漏洞复现脚本，验证漏洞可利用性。

第三步：提前对接开发团队筹备补丁

研究人员第一时间把漏洞详情同步给 PHP 官方维护团队，全程严格保密漏洞信息，双方并行开展漏洞根源分析与安全补丁编写工作，守住修复窗口期。

第四步：分阶段对外发布信息与补丁

补丁开发完成后，PHP 官方优先推送版本更新包，延后对外公开漏洞技术细节，确保绝大多数网站完成升级加固之后，再完整披露漏洞原理，避免黑客提前利用漏洞发起攻击。

三、网站运维修复操作流程

（一）版本升级操作

  1. 核对当前服务器 PHP 版本，确认是否处于受影响版本范围
  2. 下载官方发布的对应安全版本：8.5.12、8.4.27、8.3.36、8.2.35
  3. 停止网站服务，完成程序版本替换，重启 PHP 服务并测试网站业务运行正常

（二）临时防护方案（暂时无法升级时使用）

  1. 配置网站 WAF 防火墙，拦截异常请求与代码执行类访问行为
  2. 限制服务器外网端口访问权限，收紧服务器账号权限策略
  3. 开启服务器访问日志，实时监控异常代码调用行为

四、本次事件带来的行业技术总结

AI 自动化代码审计已经成为网络安全领域的新手段，能够快速挖掘人工审查很难发现的潜伏漏洞。在本次 PHP 高危漏洞事件中，AI 先行发现隐患，为全球互联网从业者抢出充足的修复窗口期，形成 “先发现、先开发补丁、再公开漏洞” 的良性安全流程。随着 AI 安全检测能力持续升级，未来开源软件里的隐藏缺陷会被更早识别，网络安全防御会逐步走在网络攻击前面，进一步提升全球网站整体安全防护水平。

【常见问题】

问题 1：全球七成网站使用的 PHP 曝出高危漏洞，该漏洞是依靠什么技术率先发现的？

回答 1：全球七成网站使用的 PHP 出现的这组高危漏洞，是依靠 AI 大模型技术率先挖掘出来的，研究团队使用 GPT-5.6 Sol 对 PHP 源代码开展自动化审计，提前锁定隐患，为全网网站争取到充足的修复窗口期。

问题 2：本次 PHP 高危漏洞被命名为 PHP2Shell，漏洞风险等级与核心危害是什么？

回答 2：PHP2Shell 属于高危漏洞，CVSS 评分达到 9.2 分，攻击者不需要登录账号、不需要验证身份，就能远程在网站服务器执行任意恶意代码，直接控制服务器、窃取网站数据。

问题 3：全球七成网站受 PHP 高危漏洞影响，网站运维人员首要修复操作是什么？

回答 3：运维人员首要操作是核对 PHP 当前版本，立刻升级到官方发布的安全版本 8.5.12、8.4.27、8.3.36、8.2.35；暂时无法升级的网站，需要开启 WAF 防火墙，收紧服务器访问权限，做好临时防护。

问题 4：AI 发现 PHP 高危漏洞之后，技术团队是如何守住修复窗口期的？

回答 4：AI 挖出漏洞后，团队严格保密漏洞技术细节，同步对接 PHP 开发团队并行开发安全补丁；先向全网推送升级安装包，等大量网站完成加固之后，再对外公开漏洞详情，避免黑客提前掌握漏洞利用方式，牢牢守住修复窗口期。

【数据来源】

[2026-10-23]（PHP

[2026-10-23]（AI 率先挖出 PHP

[2026-10-22]（OpenAI 大模型发现 PHP 远程代码执行高危漏洞）安全内参

[2026-10-22]（PHP 官方发布安全补丁修复 PHP2Shell 漏洞）PHP 官网公告

[2026-10-22]（全球 70% 网站采用 PHP 技术，漏洞影响范围广阔）W3Techs 行业数据

免责声明

本文全部漏洞信息、版本数据、技术方案均来自 PHP 官方公告、网络安全行业媒体以及公开技术报告，仅用于技术资讯整理与运维技术参考；网站升级操作需要结合自身服务器环境测试后再落地，因自行操作带来的系统问题，本文不承担相关责任；漏洞技术细节仅用于安全防御研究，严禁用于未授权的网络测试行为。