一个请求就能接管服务器：PHP2Shell漏洞爆发，你的企业准备好了吗？

10月21日，一场波及全球互联网的安全警报拉响——
在荷兰，鹿特丹港、政府门户网站Overheid.nl、荷兰足协、全国五大政党的官网以及多家医院网站，跟随国家网络安全中心的做法主动下线。在芬兰，国家IT服务机构Valtori以"预防措施"为由，将政府公共网络服务整体下线。法国内政部临时关闭了地方政府行政网站，等待安全补丁发布。就连澳大利亚信号局（ASD）在内的澳大利亚政府网站也受到影响，部分网站因风险处置暂时无法访问。
这些网站大多不是被黑客攻破的，而是出于预防，主动"拔了网线"。原因只有一个——PHP出事了。

01｜PHP2Shell是什么？影响为何如此严重？
PHP是全球使用最广泛的服务端编程语言。据W3Techs统计，在可识别服务端语言的网站中，约70.5%使用PHP。WordPress、Joomla、Drupal以及维基百科背后的MediaWiki，都是基于PHP构建的。
10月21日，PHP官方紧急发布安全更新，修复两个严重漏洞CVE-2026-109618和CVE-2026-109619，业内统称"PHP2Shell"。PHP官方确认两者均可导致无需认证的远程代码执行，CVSSv4.0评分均为9.2，并表示升级是唯一安全的选择。
这次漏洞的危险之处主要有三点。
第一，漏洞利用不依赖应用代码中的缺陷。哪怕只是一个简单的"Hello World"程序，只要运行在受影响的PHP版本上，也可能存在风险。也就是说，你的业务代码写得再严谨，地基不稳，房子照样危险。
第二，攻击门槛低，覆盖面广。PHP官方表示，所有处理Web请求的PHP安装都面临风险，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed。一个匿名POST请求就能让Apache mod_php工作进程启动shell并执行攻击者指定的命令，全程无需认证、无需会话，也不需要应用存在漏洞。
第三，影响版本跨越十余年。过去十年发布的每一个PHP版本都至少受其中一个漏洞影响，最早可追溯到PHP 5.4。
除了远程代码执行，攻击者还能"偷看"服务器内存。这部分内存中可能包含其他请求或服务器自身的密码、认证令牌、API密钥和证书。

02｜窗口期急剧缩短，你的企业可能就是下一个目标
以往，企业从获知漏洞到完成修复，多少还有一段排查和准备的时间。这一次，缓冲期几乎消失了。
PHP2Shell原定10月22日公开，但信息在10月20日提前泄露，PHP基金会只能将补丁提前一天发布。补丁还没上线，PoC利用代码就已开始流传；watchTowr、Hadrian、Patchstack、Cloudflare等多家安全机构先后观测到在野攻击尝试。此前有安全公司预计，大规模攻击会在补丁发布后15分钟内开始。AI还在进一步压缩这个时间：大模型可以帮助攻击者把漏洞利用代码快速适配到不同的PHP版本、配置和内存布局，大幅降低规模化攻击的门槛。
截至目前，公开报道中尚无经确认的成功入侵案例，但攻击者已经开始挨家挨户地试探。据VirusTotal估算，暴露在互联网上的PHP主机超过510万台。以下几类企业尤其需要警惕：
有官网、商城、论坛或内容站的企业：研究人员已在WordPress、Drupal、Joomla、Magento、phpMyAdmin、Nextcloud、Laravel等应用上演示了无需认证的远程代码执行。网站一旦被控制，就可能沦为黑客的工具，被用来借助网站的信誉钓鱼，或通过这个可信渠道分发恶意软件。
仍在使用老版本PHP的企业：使用PHP的网站中，近四成仍停留在PHP 7及更早版本，再加上同样已停止维护的PHP 8.0、8.1，大量网站已无法获得官方更新。
以为"系统没报警就没事"的企业：恶意请求在应用代码执行之前就已被PHP处理，应用层的登录鉴权根本拦不住。服务器上可能只留下一条内存超限的报错日志，而这类报错通常被当作噪音忽略。
如果你是企业负责人，不妨问问自己：公司有多少网站和业务系统跑在PHP上？从排查、测试到完成升级，需要多久？在攻击者找上门之前，我们能不能准备好？
如果你对这些问题的回答是"不确定"，那么你的企业需要的不只是一个补丁，还需要一道全天候在线、能自主运行的安全防线。

03｜AI深度参与，PHP2Shell成"分水岭"
PHP2Shell之所以引发全球关注，除了危害本身，还因为AI在漏洞的发现和利用验证中发挥了关键作用——
安全公司Calif在8月1日发现了第一个漏洞，并于8月11日报告给PHP；8月19日，Wiz研究团队借助Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol也独立发现了漏洞……
Wiz在报告中写道，这些缺陷已在PHP中潜伏十余年，过去要证明其可利用性，需要极其复杂的攻击链，几乎触及人类研究员的能力极限，而前沿AI模型大幅降低了这一门槛。借助前沿AI模型和合适的工具，单个研究员在一周内就完成了过去需要世界级团队数月才能完成的工作。PHP基金会也表示，AI已帮助发现了比以往更多的PHP漏洞，自7月1日以来已有15个新CVE发布。
而另一方面，大模型可以帮助把漏洞利用代码适配到不同的PHP版本、配置和内存布局，显著降低在不同部署环境中规模化发起攻击的门槛。这意味着，漏洞从被发现到被武器化的周期正在急剧缩短，"补丁一出就被打"可能会成为新常态。

04｜以AI对抗AI，守住补丁空窗期
AI正在同时武装攻击者和防御者。在这场速度的较量中，谁先发现、谁先行动，谁就掌握主动。鉴于此次事件可能对广大政府、企业带来的巨大影响，360安全云迅速响应，发布解决方案，助力政企单位抢在攻击窗口关闭前筑牢安全防线——
兼容724保：AI数字人驱动7×24小时防护，实时守护企业网络
面对PHP2Shell这类新型漏洞，AI数字人可在分钟级完成研判，实时捕获利用该漏洞发起的攻击行为，并快速联动云端实时值守的360安全专家处置，分钟级拦截攻击。让各类漏洞利用和攻击行为被实时发现、快速阻断。
网站保：为企业网站紧急止损
PHP承载着大量企业网站和线上业务。网站保可精准区分正常用户访问与自动化攻击流量，在保障正常访问的同时，将针对网站的各类攻击拦截在业务之外，为企业升级补丁争取宝贵时间。
体检保：抢在攻击者之前发现漏洞
AI体检数字人常态化地对网站和业务系统进行安全体检，帮助企业先于攻击者发现业务中的各类潜在漏洞，不让"下一个PHP2Shell"成为突破口。
升级到官方修复版本是根本之策，但在补丁真正落地之前，企业还需要一道能立刻顶上的防线。如果条件允许，请立即把 PHP 升级到官方已修复版本：
PHP 版本升级对照
▪ PHP 8.5 → 需升级至 8.5.12
▪ PHP 8.4 → 需升级至 8.4.27
▪ PHP 8.3 → 需升级至 8.3.36
▪ PHP 8.2 → 需升级至 8.2.35
▪ PHP 8.1及以下（含7.x） → 官方已停止支持，建议升级至上述受支持版本；暂时无法升级的，可使用官方提供的源码回移补丁，或联系操作系统发行版、长期支持厂商获取修复
PHP2Shell不会是最后一个。当AI让漏洞的发现、验证乃至武器化都以周、甚至以小时计算，安全就不再是一次性的"打补丁"工程，而是一场持续的速度竞赛。
对企业而言，真正的底气不在于永远不出现漏洞，而在于漏洞出现时，能比攻击者更早发现、更快行动。
这正是360安全云坚持"以AI对抗AI"的初衷：让每一家企业，无论规模大小，都能拥有全天候在线的安全能力，把安全从被动应急，变成业务稳健运行的底座。在AI重塑攻防的时代，守护好每一个网站、每一份数据，就是守护企业的信誉与未来。



360智慧商业