近日，一场由人工智能辅助发现的网络安全危机在全球迅速蔓延。据路透社、环球资讯等媒体报道，全球大量网站共同依赖的开源脚本语言 PHP 被发现存在两个严重的远程代码执行漏洞，被统称为「PHP2Shell」，严重程度评分高达 9.2 分（满分 10 分）。
10 月 21 日，国家信息安全漏洞共享平台（CNVD）收录了这两个 PHP 远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应 CVE-2026-109618、CVE-2026-109619）。未经身份验证的远程攻击者可构造恶意 HTTP 请求触发内存错误，在特定条件下实现拒绝服务攻击、敏感数据窃取，甚至远程执行任意代码。
10 月 22 日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）也发布风险提示，确认这两个超危漏洞危害严重，可能造成服务器受控、敏感信息泄露、业务中断等后果。
受影响的 PHP 版本范围较广，包括 8.5 系列低于 8.5.12、8.4 系列低于 8.4.27、8.3 系列低于 8.3.36、8.2 系列低于 8.2.35，以及 8.1 系列及更早版本。厂商已发布修复版本 8.5.12、8.4.27、8.3.36、8.2.35。由于 WordPress、Drupal、Joomla、Laravel、Nextcloud 等大量主流 CMS 和框架均基于 PHP，影响面极广。
据 W3Techs 统计，在可识别服务器端编程语言的网站中约七成使用 PHP。目前全球多国政府和企业已进入应急状态，腾讯云、阿里云等国内云厂商也相继发布漏洞通告，提醒用户尽快排查业务中 PHP 的使用情况并及时更新。
对于企业用户而言，此次事件再次敲响警钟：应第一时间通过 php -v 命令排查业务系统中 PHP 的版本，对照影响范围及时升级；在无法立即升级的情况下，可采取临时下线、关闭会话上传进度功能、网络隔离等缓解措施，并加强账号、口令和密钥的轮换管理。
（来源：CNCERT 安全公告、工信部 NVDB 风险提示、环球资讯，2026-10-21/22）