据爱范儿报道，PHP基金会10月21日晚提前发布紧急安全补丁，应对代号PHP2Shell的两个高危远程执行漏洞。漏洞信息在此前已经泄露，而全球约七成网站的后端使用PHP，多个网站和服务紧急下线升级。
这两个漏洞的编号分别为CVE-2026-109618和CVE-2026-109619，PHP基金会给出的严重程度评分为9.2分，满分10分。报道称，在最危险的情况下，攻击者可通过漏洞在服务器执行任意代码，可能读取用户资料、篡改网站内容、替换电商收款信息，或植入勒索软件并进一步入侵其他系统。统计显示，目前69.4%的网站后端用到PHP，WordPress、Drupal、Joomla等网站管理系统以及维基百科使用的MediaWiki都建立在PHP之上；日本的使用比例达到92%。
漏洞披露后，日本高市早苗发文敦促网站管理者打补丁，欧洲多国政府和学术机构紧急下线相关系统。niconico、pixiv、《赛马娘》《碧蓝幻想》以及任天堂相关游戏服务相继停止服务，部分服务未公布恢复时间；寿司郎也宣布小程序暂停运行，预计次日下午恢复预约。
补丁发布并不意味着所有网站都能立即恢复。报道称，目前全球仍有近半网站使用已经结束支持周期的旧版PHP，这些旧版分支无法获得补丁；若不彻底升级PHP版本，相关网站将缺乏修复保护。思科、WatchTowr和360等公司的安全团队已在补丁推送前根据公开信息复现攻击流程，Cloudflare也观察到小规模攻击行为。潜在攻击者可能继续搜寻疏于维护的网站。
这起漏洞的发现过程与AI有关。报道称，PHP基金会2024年启动外部安全审计时，维护团队已注意到内存不足情况下的安全隐患，但因未找到稳定可复现的攻击方式，加上修复核心代码可能影响兼容性，修复工作被拖延。今年6月，OpenAI发起“Patch the Planet”项目，联合多家安全公司利用AI发现并报告开源项目漏洞。不到两个月，合作安全公司Calif的研究人员找到利用2024年漏洞执行远程攻击的方式；几天后，Wiz Research借助Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol独立发现相同漏洞。Wiz称这两个PHP漏洞是“软件历史上最严重的漏洞之一”，利用复杂度“几乎超出了人类研究人员能够实现的范围”。
8月发现可行攻击方式后，PHP技术团队将修复漏洞列为最高优先级，并与OpenAI及多家安全公司秘密开发补丁，因此在漏洞信息泄露后得以第一时间发布。OpenAI在官方博客中预计，未来几个月类似漏洞发现的数量将大幅增加。报道还提到，为全球约七成网站提供技术底座的PHP基金会2025年捐助收入为73万美元，仅有11名全职及兼职签约开发者，他们贡献了当年PHP核心代码库约42%的提交；核心组件改动还可能导致大量第三方插件与扩展失效。