在星期三，一个有着数十年历史的开源网络技术PHP差点击垮互联网，这要感谢两个在多年间静默存在的漏洞，直到研究人员最近找到了一种利用它们的方法。 这些漏洞被称为PHP2Shell，官方标识为CVE-2026-109618和CVE-2026-109619。 简而言之，这些漏洞允许任何了解如何利用它们的人突破运行PHP的在线系统，例如网站或面向互联网的服务器，而无需密码即可访问或修改其数据。 对于这种情况来说，这确实是一个相当大的事件，迫使全世界数百万人急忙修补他们的系统，以防恶意黑客加以利用。 维护PHP网络软件的PHP基金会在星期三公开发布了修复漏洞的补丁，这些补丁一旦安装，将防止面向网络的服务器受到攻击。 基金会事先已给予依赖PHP的一些最大的互联网公司和网络主机一个早期的修补机会。 多亏了数周的幕后交流和行业间的精心协调，迄今为止，全球在一定程度上避免了大规模的互联网利用。 从星期三开始，各国政府开始敦促市民和拥有网站的公司采取行动，以降低他们的风险。 各种行业的公司关闭了网站并下线服务以修复系统。 银行、零售商、游戏网站、在线商店、医院以及一些政府机构都关闭了他们的服务器以防止攻击。 但是安全研究人员警告说，情况还没有结束，世界各地仍有大量系统未得到修补，仍然容易受到黑客攻击和数据盗窃。 这也不太可能是最后一次主要的互联网软件恐慌，有些人预计人工智能的出现将迅速揭示那些尚未被发现的等待解决和利用的漏洞。 发生了什么？ 加州的安全研究人员在PHP中发现了两个漏洞，这是用于构建网站和网络应用程序的流行编程语言，在互联网上和当地公司网络上（如内联网和内部网站）被广泛使用。 PHP是开源的，意味着它是免费的，并可供任何人出于几乎任何目的使用。因此，它已成为今天网络上最受欢迎和广泛使用的网络编程语言之一。 这两个漏洞最早在2024年被发现，但当时并未被认为是可利用的，因此也没有修补。 安全研究人员最近找到了一种利用这些漏洞的方法，促使他们向软件制造商发出警报要求修复它们。 加州向PHP基金会发出了警报，基金会开始了修复漏洞的过程并协调了披露。 基金会通过在保密条件下提供有关安全问题的信息和修补程序，来给大型公司一个提前安装修复的机会——这基本上是在特定截止日期之前保留机密的信息。 为什么这些漏洞如此严重？ PHP2Shell非常严重，因为它可以通过互联网远程被滥用，而受害者不需要点击链接或打开文件。 这被称为远程代码执行，而这是一种更具破坏性的漏洞类型，因为它们可以授予世界任何地方的黑客对受影响且未修补系统的有效完全控制。 更糟的是，特定的PHP漏洞使得在互联网上能够突破任何未修补系统，而无需密码或其他凭证，这被称为未经认证的访问。 这将使恶意黑客能够在计算机上植入恶意软件，例如窃取数据，或仅仅维持一个可以稍后返回的长期立足点。 为什么70%的网络受到影响？ 这些漏洞尤其危险，因为PHP是极受欢迎的软件，部分原因在于它是免费的且相对易用，但也因为它已经存在几十年。 大约70%的面向互联网的网站依赖于PHP，尽管它的使用在逐年缓慢下降，以支持更新、更安全的编程语言。 鉴于其受欢迎程度，一些世界上最受欢迎的网站，由于依赖PHP，使用基于此的网络软件，如WordPress（它托管了TechCrunch！），还有Drupal、Joomla和MediaWiki，这些都是驱动在线百科全书巨头维基百科的工具。 PHP仅仅是许多老旧但仍可用的技术之一，这些技术经历了互联网的几次浪潮和几代人，现在已经如此普遍，就如同将互联网的大部分粘合在一起的胶水。 这些工具通常是由开源维护者开发的，他们并未为自己的工作支付报酬，因此无法负担第三方的安全审查——但公司仍然广泛依赖这些项目，而这些公司并未在财务上为这些项目做出贡献。 %items 智慧学校教育平台因PHP编程语言的两个关键漏洞而下线，时间为2026年10月21日在Edegem。