本周，欧洲多国政府网站和全球多家商业网站因PHP高危漏洞“PHP2Shell”被临时下线或限制服务，美国国家安全局（NSA）建议无法立即打补丁的机构将服务器下线。该漏洞允许未认证攻击者远程执行代码，PHP基金会已将原定补丁提前发布。
据CNBC报道，PHP创建于1990年代，使用于略低于70%的已知服务器端编程语言网站；9to5Mac称这一比例约为70%。8月中旬，AI公司Calif和谷歌Wiz的研究人员发现所有处理Web请求的PHP安装存在漏洞，Calif使用OpenAI的GPT-5.6 Sol，Wiz使用Atlas安全AI代理、谷歌Gemini 4 Argon和GPT-5.6 Sol。两个漏洞均被评为9.2/10的安全严重级别，被命名为“PHP2Shell”。
据CNBC报道，PHP基金会原计划周四发布补丁，但漏洞信息提前在在线论坛泄露，Calif周二误发概念验证视频；补丁在美东周三10点提前24小时发布，NSA在之前发出警告。GitHub出现声称可利用PHP2Shell的代码。PHP基金会执行主任Elizabeth Barron周三下午称，组织正监测事态，当前没有“任何有效利用的证据，只有不完整、错误且不可用的生成代码”。Tolmo研究员Matt Suiche称其团队不到一天编出可用利用；Amazon Threat Intelligence周三称周六在MadPot网络发现PHP2Shell利用尝试。
据TechRadar报道，Wikimedia Foundation下线部分服务以打补丁，包括Toolforge和Cloud VPS；Internet Archive于10月21日下线，称正在恢复服务，但未明确关联PHP；Orange临时暂停使用PHP的数十国网站和应用，称属预防措施；BBC部分页面、4chan、Pinboard、Miraheze、OpenStreetMap下线或限制运营；任天堂、Asana、Duolingo、GOG暂停服务但未提及PHP；Pokémon Sleep等游戏下线。英国一名部长称32项政府服务离线，发言人还称已与OpenAI和NCSC合作修复政府系统漏洞；英国预算责任办公室10月21日按NCSC指导下线，22日恢复；爱丁堡、牛津郡、Hillingdon地方网站下线。
据TechRadar报道，欧洲大量政府和商业网站下线打补丁，包括比利时外交部、捷克政府网站、丹麦市政IT公司Kombit、芬兰公共服务网站、法国内政部辖下省政府网站、德国联邦IT服务商ITZBund、荷兰国家网络安全中心、鹿特丹港、Overheid.nl、荷兰足协KNVB、五大政党及多家医院网站。英国NCSC警告组织识别PHP使用位置并尽快更新，若无法应用临时缓解措施或耗时过长，应考虑将系统下线。
据CNBC报道，现为Tolmo产品安全工程师的Mihail Kirov两年前所在的团队发现过与PHP2Shell同根因的漏洞，并通知PHP基金会，但修复未推出；基金会周三博客承认延迟是“结构性失败”，由安全团队决策过程和资源不足导致。专家称打补丁后也可能不知道数据是否被入侵：Ox Security首席执行官Neatsun Ziv说，除非预装应用安全平台，否则看不到服务器上的可疑请求；Suiche说只有在数据 later 在暗网出售时才会知道。Suiche称PHP是遗留语言，一些市政府十年未更新网站但存有关键数据。他还称这种紧迫性一年前不存在，因为攻防双方都具备AI增强能力；Kirov称大语言模型让研究者能探索更多角度。