10月21日，PHP 官方紧急发布安全更新，修复了编号为 CVE-2026-109618 与 CVE-2026-109619 的两个关键漏洞。研究人员将这对漏洞称为 PHP2Shell，CVSS v4.0 评分达到 9.2，攻击者无需登录即可远程执行服务器代码。补丁于当日14:00 UTC（美东时间上午10点，北京时间晚上10点）发布，覆盖 8.5.12、8.4.27、8.3.36、8.2.35 四个版本；对 8.1 及更早版本，官方提供了最小化回退补丁，已停止维护的 5.x 至 8.1.x 版本则不再提供补丁。

这两个漏洞的发现过程涉及多方。谷歌旗下的 Wiz 网络安全团队今年8月独立发现并向官方报告了这两个漏洞；研究人员 Calif 在 OpenAI 的"Patch the Planet"计划支持下，利用人工智能模型发现了其中一个漏洞。PHP 维护团队随后主导了补丁的制作与发布工作。原定的披露与补丁发布时间表因为意外泄露而被打乱：10月20日，漏洞细节提前出现在网络上，技术论坛 Hacker News 出现讨论，网络安全公司 watchTowr 在 X 平台发布相关帖子，Calif 误发的一段概念验证视频也被传播。面对信息已经外泄的局面，PHP 官方决定提前发布补丁，试图抢在攻击者大规模行动之前给网站管理员留下升级窗口。

补丁发布之前，多国政府和机构选择了预防性下线网站。在荷兰，国家网络安全中心网站、议会二院网站、公民政务门户 MijnOverheid、公民数字身份系统 DigiD、数据保护局网站都暂时下线；服务上百个市镇的 NotuBiz 政务信息平台、连接各高校的 SURF 网络以及科技新闻网站 Tweakers 也暂停了服务。比利时网络安全中心关闭了网站。芬兰国家政府 IT 中心 Valtori 下线了多项政府对外网络服务。法国方面，内政部将全部网站暂时下线。丹麦全国学校通讯平台也暂停服务。这些下线全部属于预防措施，截至10月21日，没有任何机构报告已经遭受入侵。

除了自行下线的政府机构，各国网络安全部门也向国内网站发出了预警。欧盟机构间网络安全响应中心 CERT-EU 建议，无法立即安装补丁的机构暂时把对外服务隔离下线。美国国家安全局作出类似表态，建议一时无法更新的网站先暂时关闭。日本国家网络安全办公室呼吁网站管理员立即更新，日本首相高市早苗也在社交媒体上发出紧急呼吁。

从10月20日漏洞细节泄露，到10月21日14:00 UTC补丁发布，网站管理员实际上面临了一段约一天的防护空窗期。攻击者在补丁发布前就已经看到漏洞原理，而多数网站只能等待官方补丁或先行下线。Cloudflare 的免费防火墙规则为使用其服务的网站提供了一层临时防护，但没有接入这类防护的网站只能依靠版本升级或预防性下线。Sansec 关于补丁发布15分钟内出现大规模攻击的预计，正是基于以往高危漏洞披露后攻击工具迅速公开的经验。漏洞细节提前一天出现在 Hacker News、X 平台帖子和一段误发的概念验证视频中，意味着攻击者研究漏洞的时间并不比防御方短。

在利用与防御方面，补丁公开前已经出现早期攻击迹象。云服务提供商 Cloudflare 表示，在补丁正式发布前就已经观察到针对这些漏洞的早期攻击尝试，并为其防火墙用户部署了免费的防护规则作为临时缓解手段。安全公司 watchTowr 通过布置的蜜罐网络，在10月21日当天观察到了真实环境中的利用行为。美国网络安全和基础设施安全局（CISA）则表示，截至10月21日尚未观察到对这些漏洞的利用。安全公司 Sansec 预计，补丁发布后15分钟内就可能出现大规模攻击。这一判断基于该漏洞极易被利用的特性：无需身份验证、远程可执行代码，意味着攻击工具一旦公开，扫描和自动化攻击会迅速扩散。

这起事件的影响范围被业界形容为近年来 PHP 生态罕见的重大安全事件。全球约七成网站使用 PHP 构建，包括广泛使用的 WordPress、Drupal、Joomla 等内容管理系统，大量政府机构、企业网站和个人站点都建立在这些系统之上。漏洞的扩散也波及到了多个知名平台。维基媒体基金会关闭了多项支持服务。论坛网站 4chan、Something Awful 下线。在日本，部分互联网服务出现中断，包括游戏《赛马娘》《影之诗：超越世界》《最终幻想14》以及多家电商网站。

对网站管理员而言，接下来的时间窗口非常紧张。PHP 官方已经给出明确的升级路径：在用 8.2 至 8.5 版本的用户应尽快升级到当日发布的四个修复版本；使用 8.1 及更早版本的用户可以应用官方准备的最小化回退补丁；而运行已经停止维护版本的用户，没有官方补丁可用，需要尽快规划迁移到受支持版本。在 10月20 日漏洞细节泄露之后，攻击者掌握漏洞原理的时间实际上早于普通网站管理员拿到补丁的时间，防御一方处于信息劣势。多国政府选择先下线、再打补丁，正是为了在补丁尚未安装的空窗期切断攻击路径。

这次事件也再次凸显了开源基础设施维护的脆弱性。PHP 作为支撑全球大多数网站的编程语言，其安全更新依赖维护团队的志愿性工作和安全研究人员的负责任披露。漏洞细节的提前泄露打乱了协调披露的节奏，也让预防性下线成为多个国家在补丁发布前唯一可行的应急选项。随着补丁已经发布，大规模利用的尝试预计很快出现，尚未更新的网站将面临直接风险。