PHP 补了个 9.2 分的洞，有站的人今天该动手
PHP 两个严重漏洞在 10 月 21 日拿到补丁，评分均是 9.2，未登录就能远程执行代码。本文给有站的人一份排查顺序，并说清"AI 找漏洞"这件事的两面。
主机商发来一封"请尽快升级 PHP 版本"的邮件，多数人扫一眼就关了。这次的邮件值得看完：补丁晚了几天，站上跑的可能是别人写的代码。
一、发生了什么
2026 年 10 月 20 日，PHP 安全团队发布公告：在协调世界时 10 月 21 日 14 点、也就是北京时间 21 日 22 点，发出安全更新，修两个漏洞，编号 CVE-2026-109618 与 CVE-2026-109619，在 CVSS v4.0 体系下评分都是 9.2。
安全公司 watchTowr 确认，这两个是 PHP 里的零日远程代码执行漏洞，影响 PHP 5 及以上版本。修复版本在 10 月 21 日当天发布，共四个分支：8.5.12、8.4.27、8.3.36、8.2.35。
时间线本身也有信息量。官方原计划 10 月 22 日解除信息封锁，但漏洞细节提前在 Hacker News、X、Mastodon 上传开，发布被提到 21 日；官方还说过，若出现实际利用迹象，时间可能再提前。
另一条线是发现过程。据 IT之家 10 月 22 日报道，OpenAI 通过"Patch the Planet"计划参与了这次漏洞的发现与协调：安全公司 Calif 用 GPT-5.6 Sol 模型定位到其中一个关键缺陷，谷歌旗下的 Wiz 独立发现并报告了相关漏洞；PHP 维护团队主导验证、修复与发版，OpenAI、Wiz、Cloudflare 等负责研究和跨机构沟通，整个协调期约两个月。
影响面按业界估计，约 70% 的网站跑在 PHP 上，WordPress、Drupal、Magento 和大量共享主机都以它为底座。漏洞的性质是未登录的攻击者可以远程执行代码，后果是改页面内容、读走数据、或者直接进服务器。
截至 10 月 21 日的公开报道，还没有证据显示它被大规模利用。这句话的意思是现在是窗口期，不是事后复盘。
二、跟你有什么关系
自己有站的人（个人博客、公司官网、小店独立站、跑着 WordPress 的那种）：这是今天唯一需要动手的一类。升级是几十分钟的事，被利用是几天的事。
用 SaaS 建站、从不碰服务器的人：你管不到底层，但要问一句服务商有没有升级。问完留个截图，比事后追责有用。
只是上网的普通人：你能做的是别在陌生站点随手登录、随手填卡号。这类漏洞被打中的站，通常在几天内变成钓鱼页或挂马页，而站点主人自己往往最晚知道。
三、怎么判断要不要动手
读到这儿，可以顺路看 之前没人攻成的 PHP 漏洞，这次连美国政府关联防火墙都沦陷了 安全公司 Dream 披露首例 PHP2Shell 实际入侵：攻击者组合两个漏洞，15 分钟内拿到防火墙最高权限，25 台服务器沦陷，其中含美国政府关联机构。暴露在公网的管理接口是最大软肋。第一步，查版本。有服务器权限的敲 php -v；用共享主机的，登录主机面板找"PHP 版本"或"多版本切换"；用容器或镜像部署的，看镜像 tag 里带的版本号。三个地方都查不到，就直接问主机商。
第二步，对版本号。8.5.12、8.4.27、8.3.36、8.2.35 是四个已经修好的版本。你的版本低于同分支的这个号，就要升。如果你的分支根本不在这四个里面，说明它已经不在安全支持范围内，那不是"没事"，是该换分支了。
第三步，升不了就先止血。当时官方没有给出临时缓解方案（据 10 月 21 日报道），所以没有"打个小补丁先顶着"这条路。实在升不动，先让主机商上 WAF 规则、把不必要的对外端口关掉、把后台访问限制到固定 IP，把窗口期熬过去。
第四步，升完再做三件事。翻一遍访问日志找异常路径；换掉数据库密码和后台管理员密码；检查有没有陌生的定时任务、最近被改过的文件。这一步不是官方要求，是出了事能少解释几句的习惯。
第五步，别把"升级完成"当成收工。这类漏洞的窗口期里，最容易被忽略的是那些平时没人管的副本：测试环境、去年备份回来的临时站、子域名下跑着的老论坛。它们跑的是同一个 PHP，也用着同一套数据库密码。真要清干净，得把域名列表拉出来一个个看。
顺带说一句工具：OpenAI 放出了一个 Codex 技能形式的 PHP 版本检查器，用来识别可能受影响的版本，配合官方升级指引用。它只负责告诉你"是不是这个版本"，不负责修。
四、三个别信的说法
"我的版本不在公告列表里，所以没事。" 错在把"有补丁的分支"读成"受影响的分支"。列表列的是发版的分支，不是受影响的全部范围。你不在列表里，通常意味着那条线已经没人维护了。
"小站没人盯，轮不到我。" 错在把攻击想成有人专门针对你。这类漏洞公开后几小时内就会出现批量扫描，扫的是版本指纹，不挑站点大小。被打中的小站常被用来当跳板，最后是主机商来通知你。
"AI 都能找漏洞了，说明上网更危险。" 只说对一半。同一种能力两边都能用，OpenAI 自己在公告里也承认，攻击者可能借它更快做出利用工具。但这次的实际结果是防御方先拿到了两个洞的修补时间，还多出约两个月的协调期。真正决定安危的不是 AI 有多强，是补丁发出来之后，有多少人真的去升。
五、一句话结论
9.2 分的洞配上现成的补丁，剩下的是执行力问题：今天查版本、今天升、升完改密码，比讨论 AI 该不该找漏洞有用得多。
延伸阅读：
信息来源
- IT之家《影响约 70% 网站：PHP 高危漏洞被修复，OpenAI 牵头协调全球发现 / 修复》，2026-10-22：https://www.ithome.com/1/016/173.htm
- IT之家《9.2 评分：PHP 拉响安全警报，今天将修复 2 个高危漏洞》，2026-10-21：https://www.ithome.com/1/015/843.htm
本文基于公开信息整理，修复版本与处置建议以 PHP 官方公告为准。
每周一封，只发新教程和可复制模板。不发广告，随时退订。