已证实
两个漏洞可导致未登录的远程代码执行
两个 CVE 均为 CVSS v4.0 9.2。远程代码执行（RCE）是让服务器运行攻击者指定的代码。利用仍有技术条件，评分不是成功概率。[2] [3]
PHP2SHELL / EVIDENCE REVIEW
PHP 高危漏洞：
先修补，再看清边界
两个严重漏洞是真实的，补丁已经发布。视频把真实风险、预防性停服、尚未证实的入侵和作者推测放在了一起。本页按证据逐项拆开，并补充可执行的处置方法。
正式修复已于 10 月 21 日发布 [1]
10 月 22 日重要更新：Sansec 已下调早期大规模利用预期，指出攻击需要目标知识与特定条件，并质疑部分公开 PoC 的默认环境可用性。这不否定 PHP 官方已验证的高危路径，也不支持“所有网站立即被攻破”的说法。仍应按自己的暴露与补丁证据处置。[12]
01 / 影响边界
使用率不能替代入侵率四个问题，需要四种证据
未测定
有多少部署可被利用？
还需核对版本、发行版补丁、运行方式与应用路径。广泛受影响不等于每个站点都能同样利用。
未核定
有多少服务器已失陷？
扫描请求、WAF 拦截、攻击尝试和成功入侵是不同事件。本文没有可靠的全球成功入侵总数。
无估值
实际损失有多大？
没有足够资料支持“上百亿美元”。损失判断需要受害事实、统计范围与计算方法。
证据顺序：使用 PHP → 核对可利用条件 → 调查是否成功入侵 → 核算损失。每一步都需要新增证据。
02 / 原文逐条核查
共 14 项核心主张哪些保留，哪些改写？
这里的“未证实”表示本次证据不足，不等于已经证伪。停服与其他软件事件在第 6 节单独核对。
分母被省略
全世界七成网站门户大开
W3Techs 在 10 月 23 日测得：可识别服务端语言的网站中，69.3% 使用 PHP。它没有测量这批网站的补丁、配置或入侵状态。[8]
范围需限定
PHP 5.4 到 8.5 全部中招
发现方称至少一种路径可追溯到 PHP 5.4。具体路径随版本、运行方式和应用变化；不能写成所有部署同样容易利用。[6] [1]
是潜在后果
不用密码就能翻数据库、换网页、埋木马
代码执行可能造成这些损害，但能否读数据库、提权或持久化取决于进程权限、凭据和隔离条件。不能把可能性写成已发生。[9]
前半句已过时
补丁还没出，消息先漏了
披露前发生泄漏属实；截至本报告，10 月 21 日的正式修复版本已可用。视频没有发布日期，无法还原其“昨天”。[1] [4]
机构与效力混写
美国网络安全局要求所有机构修补，否则关站
核实到的是 NSA 公告：对组织提出修补和必要时下线建议，并强调美国政府部门应立即修补；不能扩写为 CISA 对全球所有机构的强制命令。[9]
已获维护方确认
Calif 误发视频，另一公司提前六小时发补丁镜像
PHP 基金会记录了 Calif 误发演示及 Chainguard 提前发布镜像。这里呈现基金会的公开说明；本报告没有取得完整的各方内部协调记录。[4]
过程被压缩
人工审了两年，AI 一上手就解了
2024 年出现 OOM 问题线索，但未建立具体利用路径；兼容性、决策与人力约束使修复停滞。2026 年多团队补齐攻击证据，维护者随后完成修复。[4] [6]
归因需展开
两个漏洞都是 OpenAI 模型挖出的
正式模型名为 GPT-5.6 Sol。Calif 使用它发现关键缺陷；OpenAI 独立报告相同根因；Wiz 独立发现并报告两项漏洞，并披露了多模型参与。[5] [7]
未证实成功入侵
补丁发布前已有黑客系统性埋木马
Sansec 转引 Cloudflare 的早期攻击尝试记录；尝试不等于取得服务器控制权。维护方称披露时未识别到可工作的公开利用，这也不能排除未被发现的攻击。[4] [12]
早期预期已下调
补丁出来 15 分钟就会大规模攻击
作者估计，无测算
全球损失可能上百亿美元
未提供估算机构、受害样本、损失定义、时间范围或模型。删去金额；严重漏洞本身不能推出经济损失规模。
清单与口径缺失
过去 48 小时有 27 件，其中 10 件属年度大事
未提供原始清单、视频日期、去重规则和“年度事件”标准。不能据此计算事件激增幅度，也不能把同时披露写成同一根因。
没有匹配项。请清空关键词或选择“全部”。
03 / 漏洞与补丁
两项 CVSS v4.0 均为 9.2出问题的是 PHP 运行时
CVE-2026-109618
内存不足时，中断了内部状态初始化
触发内存不足→状态尚未初始化完整→清理时误用状态
PHP 处理内存不足（OOM）时，可能留下不完整的内部数据，清理流程随后使用这些数据，造成内存破坏。[2]
验证边界：mod_php 的默认条件下已有应用代码执行前的 RCE 演示。该 CVE 的官方通告对 FPM 仍区分源码层易受影响分析与完整利用证明。
CVE-2026-109619
请求结束后，旧状态仍指向已释放内存
错误打断请求→旧状态残留→后续请求使用旧内存
致命错误可使内部状态跨请求残留。后续请求可能使用已经释放的内存，形成释放后使用（UAF）问题。[3]
验证边界：官方通告包含 mod_php 与 FPM 的会话相关路径。不能用第一个 CVE 对 FPM 的限定，推导“FPM 不受此次事件影响”。
为什么不同公告看起来不同？基金会总述提到 FPM 的应用路径已有 RCE；具体 GHSA 按漏洞和路径给出不同验证状态。应按“哪个 CVE、哪条路径、哪种运行方式”阅读，不能混成一句“所有环境已验证”或“FPM 安全”。[4][2][3]
| 上游分支 | 本次修复版本 | 处置要点 |
|---|---|---|
| 8.5 | 8.5.12 | 该分支至少升级至此版本；核对服务实际加载版本。 |
| 8.4 | 8.4.27 | 同上；容器、工作进程与各节点均需覆盖。 |
| 8.3 | 8.3.36 | 同上；不要只检查命令行 PHP。 |
| 8.2 | 8.2.35 | 同上；服务商可能采用发行版安全回补。 |
| 8.1 及更旧 | 无常规上游安全发布 | 核对 LTS/发行商回补，或迁移到受支持分支；官方另提供 7.4、8.0、8.1 最小源码回补。 |
发行版可能通过安全补丁回补修复，而不一定改变上游版本号。因此必须结合发行商公告和运行实例验证。源码回补也不等于每个旧环境自动获得安全维护。[10]
04 / 交互风险初筛
规则推导 · 非扫描结论输入环境，得到下一步
所有计算在本页完成，不联网、不上传、不保存。结果只按你输入的信息排序；本页不会验证补丁、检测入侵或给出“系统安全”认证。
先确认修补状态，再处理互联网暴露
当前示例 8.4.26 低于 8.4.27；如无发行商回补证据，应按待修补资产处理。请确认运行方式和负责人。
05 / 披露时间线
把“昨天”还原为日期
以下是公开资料中的事件时间。视频未提供发布日，因此无法证明它描述的是哪一个“48小时”。约时、日期与计划时间均保留原有精度。
审计出现线索
Quarkslab 审计后，核心开发者发现 OOM 问题迹象；未找到具体攻击路径。[4]
Calif 开始审计
PHP 参与 Patch the Planet，Calif 开始研究。[6]
报告完整影响
Calif 报告 RCE；基金会记录 OpenAI 同日独立报告同一根因。Wiz 于 8 月 24 日补充路径。[4]
CVE 编号外流
约此时编号在网上流传；附带的 10.0 评分与发布时间有误。[4]
预告提前
维护方提前预告，并将原定 10 月 22 日的发布改到 21 日。[4]
演示视频误发
约此时 Calif 误发视频，后删除；副本已流传。[4]
含补丁镜像提前发布
基金会记录 Chainguard 提前六小时以上发布修复镜像。[4]
提前后的计划发布点
这是维护方安排的发布时间，不能当作全球包仓库的首次可用时间。CERT-EU 记载已于 13:30 UTC 发布修复。[10]
大规模利用预期下调
Sansec 根据后续研究修正最初预期；仍建议更新 PHP。[12]
本报告核查截止日
正式补丁已发布；补丁部署、调查和验证仍需各资产负责人完成。[1]
06 / 停服与其他软件事件
放在一起看，仍要逐件核对
发现更快，修复仍要落到运行实例
以下分为已知事实与本报告的推断，避免用单次案例证明整个行业的因果关系。
推断：瓶颈可能向验证和部署移动
如果漏洞发现速度持续提高，而维护者、供应商和资产负责人没有同步增加处理能力，待验证报告与待部署修补可能堆积。这是有条件的推断，不是已测得的全球趋势。
反证与验证方法：持续比较有效报告率、重复/误报比例、确认到发布时长、发布到运行实例修补时长及复发率。如果这些指标同时改善，瓶颈并未必恶化。
发现
代码审查、测试与 AI 提出线索。输出必须能被验证。
确认
在授权隔离环境验证根因、版本、条件与真实影响。
修复
维护者权衡兼容性并做回归；供应商将修补送到产品。
部署
资产负责人更新所有实例，重启或重建，并调查此前暴露。
AI 辅助发现和验证可能降低部分漏洞研究的成本，但本次事件不能证明传统开发必然不安全，也不能证明 AI 生成的代码更安全。多跑几次 AI 审查只能增加检查机会，不能作为修复完成的验收。
08 / 处置与验收
0 / 6 项已勾选把紧急感变成可核对的工作
下面是建议流程，勾选仅用于当前页面，不会证明实际工作已完成。如果已经发现异常，应并行启动事件响应，保全日志和证据，避免在受入侵主机上生成新凭据。
09 / 来源、覆盖与审核
每个结论，都有边界
资料核查日为 2026 年 10 月 23 日。以下优先列维护方、发现方、政府机构和服务运营方原文；发现方与协调方的陈述不等于本报告独立复现。
- 1PHP 官方安全发布 ↗
2026-10-21 · 版本、旧分支与升级路径
- 2PHP 官方：OOM corruption ↗
2026-10-21 · CVE-2026-109618 的条件与影响
- 3PHP 官方：stale global state ↗
2026-10-21 · CVE-2026-109619 的条件与影响
- 4PHP 基金会事后说明 ↗
2026-10-21 · 2024 年线索、资源约束、披露失误
- 5OpenAI：Patch the Planet ↗
2026-10-21 · GPT-5.6 Sol、协作与防御者窗口
- 6Calif：php2shell 原始研究 ↗
2026-10-21 · 历史路径与研究者发现过程
- 7Google Cloud：应对 PHP 漏洞 ↗
2026-10-21 · Wiz 独立发现与多模型参与
- 8W3Techs：PHP 使用统计 ↗
2026-10-23 快照 · 69.3% 的分母及版本分布
- 9NSA：PHP 修补建议 ↗
2026-10-21 · 机构身份、建议与美国政府对象
- 10CERT-EU 安全通告 2026-018 ↗
2026-10-21 · 欧洲机构建议、修复与临时措施边界
- 11Cloudflare：PHP WAF 防护 ↗
2026-10-21 · 已部署保护的范围与局限
- 12Sansec：PHP2Shell 研究及更新 ↗
2026-10-21；10-22 更新 · 下调早期大规模利用预期；攻击条件
- 13Wikimedia：工具与服务影响 ↗
2026-10-21；10-22 更新 · 预防性下线与可能的 wiki 中断
- 14
- 15
- 16GAME Watch：游戏维护报道 ↗
2026-10-21 · 次级来源：嵌入《碧蓝幻想》官方社交帖
- 17荷兰中央政府：预防性下线 ↗
2026-10-21 · 部分政府网站下线，非全部政府网站
- 18Suomi.fi：紧急维护停服 ↗
2026-10-21 · 开放数据服务暂停；此页未直接说明 PHP
- 19CERT-FR：PHP 安全警报 ↗
2026-10-21 · 能证明机构警报，不能代替各站停服记录
- 20JPCERT/CC：PHP 警报 ↗
2026-10-22 · 日本事件通知与修补建议
- 21北京大学计算中心紧急通告 ↗
2026-10-22 · 大陆高校官方预警与运行验证要求
- 22浙江大学信息技术中心预警 ↗
2026-10-22 · 大陆高校官方预警
- 23GitLab 官方紧急补丁公告 ↗
2026-10-21 · CVE-2026-110264、受影响与修复版本
- 24LiteLLM 官方事故报告 ↗
2026-10-21 20:30 UTC 更新 · 受污染发布物、时间窗口与响应
- 25Node.js 官方安全发布 ↗
2026-10-21 · 独立漏洞、受影响分支与修复版本
本次查了什么，仍缺什么？
更新规则与反证条件
如果 PHP 官方修改 CVE、范围、评分或补丁基线，应替换对应结论。如果运营方确认成功入侵，应更新其事件卡；不能追溯把预防性停服写成当时已确认入侵。若出现完整全球损失研究，应核对其样本与定义后再引用金额。实时统计页未来可能变化，本文保留 10 月 23 日快照日期。