据SiliconANGLE报道，PHP维护者于2026年10月21日发布补丁，修复两个关键漏洞。这两个漏洞合称PHP2Shell，影响全球多达70%的网站。美国国家安全局等网络安全机构敦促受影响组织在安装更新前关闭相关系统，多个市政机构、学校和私营公司已采纳建议。Cloudflare和Fastly表示，黑客已在尝试利用这些漏洞。
两个漏洞可让黑客在易受攻击的服务器上部署恶意代码，某些情况下安装过程仅需几秒钟。恶意软件侵入网站后，可读取数据库并对访客发动网络攻击。第一个漏洞出现在PHP代码接收的数据超过其处理能力时。PHP会删除部分已接收数据，而维护者表示，删除操作后留下的数据可被黑客用于发动攻击。第二个漏洞与全局状态有关，即程序多个组件共享的信息。每条全局状态都与对PHP应用的特定请求相关联，应用处理请求时会删除相关全局状态。PHP2Shell可让恶意代码在数据被删除前访问部分内容，从而为攻击打开入口。
Fastly首席产品官Kelly Shortridge表示：“这不是理论漏洞。我们在Fastly全球网络每天观察到数十亿次PHP请求，并看到活跃攻击的证据。”应用程序安全初创公司OX Security研究团队负责人Moshe Siman Tov Bustan说，如果运行公开可访问的PHP实例且尚未打补丁，就应从已暴露的假设出发；若发现利用迹象，应假定系统已被攻破，而不只是暴露。
PHP2Shell背后的技术问题已在PHP中存在数十年，但研究人员曾认为其无法在实际环境中被利用。这一判断在8月改变：网络安全公司Calif.io一名员工使用GPT-5.6 Sol扫描PHP代码库寻找漏洞，审计由OpenAI Group PBC资助，发现PHP2Shell确实可被针对。谷歌Wiz网络安全部门随后又有若干发现。数周内，科技公司和网络安全研究人员组成行业小组处理该问题，产出超过1万行代码和涉及20多个PHP文件的修复。该小组原计划在周四发布补丁，但漏洞前一天在热门开发者论坛泄露，促使PHP维护者于10月21日紧急发布修复。
Cloudflare已更新其CDN，以保护客户网站免受PHP2Shell攻击，但该公司强调用户仍应修补系统。CrowdStrike Holdings等企业网络安全提供商也在产品中加入缓解措施。OpenAI发布了一款工具，可帮助其Codex编码助手的用户发现系统中的易受攻击PHP安装。
Cobalt公司首席信息安全官Andrew Obadiaru表示，补丁禁运被泄露既是对领导力的考验，也是技术考验，因为关键决定在任何人掌握全部细节之前就要作出。安全负责人需要迅速回答PHP在哪里运行、谁拥有这些系统，以及谁有权在系统无法修补时将其下线。漏洞缓解初创公司Miggo联合创始人兼首席技术官Itai Goldman指出，PHP已嵌入网站、应用和第三方软件数十年，许多组织仍在运行不再获得标准安全更新的旧版本，对这些系统而言“放下一切去修补”并不总是可行；安全团队需要立即识别暴露面，优先处理面向互联网的系统，并与供应商合作寻找升级路径或受支持修复。