文章核心观点 - 文章以PHP两个CVSS 10.0级远程代码执行漏洞（PHP2Shell）泄露事件为切入点，揭示AI正在彻底改变网络安全攻防格局，漏洞发现速度被AI大幅加速，但修复能力受限于底层安全人才严重不足，整个互联网基础设施建立在脆弱且缺乏资金支持的开源代码之上，行业正陷入“红皇后赛跑”式的困境 [6][98][106] 漏洞事件时间线与行业影响 - 10月20日夜里11点多Hacker News出现帖子，声称两个CVSS 10.0的PHP远程代码执行漏洞即将公开，发帖人仅以“信我就行”作为信源，并附上漏洞编号 [5][6][7] - 数小时后安全公司watchTowr确认漏洞真实性，原话为“本来都该等到周四的” [9] - 漏洞处于泄密状态而PHP官方安全更新原定22号晚上发布，存在两天空档期，PHP官方被迫将更新提前到21日晚上10点（北京时间） [11][12] - 参与发现漏洞的安全公司Calif不慎将攻击演示视频发到网上，视频展示如何在多个目标上成功运行攻击验证程序，虽很快删除但已被保存并在社区大肆传播 [15] - 原本公众只知道存在严重漏洞而不知具体攻击方式，攻击演示视频流出后各种号称能利用漏洞的代码开始涌现，距离补丁正式可下载还有16个小时 [19][20][21] - 21日下午3点41分一家容器镜像公司比约定时间提前6个多小时发布打好补丁的镜像，PHP基金会公开指责其“无视了多方数周的协调工作” [21] - 攻击者利用AI对比新旧代码可直接定位漏洞，用AI研究补丁、逆向分析漏洞并开发攻击程序，而大量正常网站管理员尚无更新包可安装，攻击者形成抢跑优势 [21][22] - 21日荷兰数字身份系统、议会网站及国家网络安全中心网站相继下线，芬兰政府IT服务商关停一批服务，美国人力资源软件公司BambooHR直接停服并提醒客户发薪业务可能受影响，日本niconico和pixiv进入紧急维护 [24] - 日本PHP网站数量极多，高市早苗在X上发文建议预防性下线直至晚上10点PHP更新推送 [25] - 晚上10点PHP安全更新上线，对于两项严重漏洞没有任何完整缓解措施，更新是唯一安全选择 [30] 漏洞技术细节 - 漏洞命名为PHP2Shell，Shell即服务器命令行，获取Shell约等于获取服务器控制权，名称含义为从PHP直通服务器 [43] - 包含两个编号CVE-2026-109618和CVE-2026-109619，CVE为全球统一漏洞身份证号，CVSS满分10分，最初泄露版本为满分，最终评定为9.2分 [44][45][46] - PHP解释器用C语言编写，内存借还全靠程序员自行记账，账目出错即产生漏洞 [47][48] - 第一个漏洞CVE-2026-109619为“释放后使用”（use-after-free），已归还的内存被存放新数据但PHP仍保留指向原位置的旧记录，攻击者精心操纵可读取篡改数据甚至控制服务器，轻则读取其他用户密码、令牌、API密钥，重则执行攻击者代码 [49][55][56] - 第二个漏洞CVE-2026-109618为内存耗尽时的紧急撤离问题，PHP整理数据时先加1再存入真正数据，若两步之间耗尽内存则紧急中断，但清理程序仍按已加1的数量处理，可能将未正确初始化的内存当作正常数据使用，某些服务器配置下该过程可发生在网站业务代码运行之前 [57][68][69][70][72] - 普通用户电脑和手机不受影响，受影响的是所用网站，无人维护的小站被黑可能导致用户账号、密码、手机号等信息泄露 [73] 漏洞历史与AI加速发现 - 2004年德国安全研究员Stefan Esser发现PHP第一个与内存上限有关的远程漏洞，当时利用方法未公开仅在少数安全公司秘密流传 [74] - 2024年PHP基金会获德国Sovereign Tech Agency资金支持，通过OSTIF协调请法国安全公司Quarkslab做多年未有的外部安全审计，修复某问题时核心开发者发现类似漏洞但找不到具体攻击路径，修复方案反复拉扯，PHP基金会复盘承认这是安全团队决策流程和人手不足造成的“结构性失败” [76][77] - 2026年5月安全公司Calif搭建“AI发现漏洞月”系列，其中一篇用Claude在PHP里挖出21年前的内存漏洞 [79] - 7月30日Calif在OpenAI安全计划“Patch the Planet”中开始审计PHP，仅2天后的8月1日找到第一个能触发内存耗尽的入口 [82][83] - 8月11日Calif将漏洞报给PHP，同一天OpenAI研究人员也独立报上同一问题，8月15日PHP确认攻击演示可跑通 [84][85] - 8月24日和9月18日安全公司Wiz和OpenAI先后报上更多攻击路径，因漏洞影响巨大涉及PHP底层，组织全球合作伙伴协同修复，云厂商、系统发行商、安全公司需提前准备 [86] - 对比鲜明：2024年核心开发者很久找不到利用方式，2026年从开始审计到找到第一个入口仅用2天 [87] - OpenAI确认PHP这两个史诗级漏洞由GPT辅助发现，且并非新模型，是几个月前用GPT-5.6 Sol发现的，暗示未发布的更强内部模型若用于扫描全球网络基建可能全面暴露问题 [32][33] - OpenAI紧急发布skill辅助检测网站是否受影响 [34] PHP语言行业地位 - PHP是写后端最常用的语言之一，虽因太老在新产品新技术栈中较少使用且长期是程序员圈子的嘲讽对象，但全球用PHP搭建的网站仍占70%，国内以2026年10月数据看仍有超过一半网站用PHP搭建 [39] - 注册过的论坛、小店付款页、地方政府办事网站、公司内部报销系统、路由器和NAS管理后台大概率跑在PHP上 [41] - PHP如同城市地下老水管，平时无人想起，一旦爆裂整条街都受影响 [42] 开源基础设施的脆弱性与资金困境 - 整个互联网立在一堆没人付钱、也没几个人认真看的代码上，PHP基金会承认内存问题2024年就有苗头，拖到今天重要原因是人手不够，复盘最后几乎在求助，希望公司、主机商和政府赞助 [89] - Hacker News有人翻出Debian上负责给PHP打包维护者的赞助页，月赞助连700美元都不到，而全世界服务器就在等这些人半夜起来发版 [92] - 找漏洞太贵是互联网多年大体安好的原因，能在PHP内核、OpenSSL等找到并利用内存漏洞的人全世界可能仅几百个，一个漏洞要磨几个月，很多雷可安静埋二十年因无人愿搭理、成本太高 [94][96][97] AI对安全行业的冲击与验证瓶颈 - Anthropic本月公布从去年11月到今年10月初其模型在开源项目里共找出29439条候选漏洞线索 [99] - OpenAI在长文中表示PHP这两个洞只是已发现、正在修的多个重大漏洞之一，接下来几个月“类似的发现会急剧增加” [102] - PHP2Shell不是结束只是开始，此类事件接下来会越来越多 [103] - 核心瓶颈转移到验证环节，类似OpenAI发布700多篇论文需全世界数学家最少几个月甚至一年验证，网络安全领域PHP漏洞发现只花2天但修复花了整整两个月 [103][104][105] - 漏洞发现会越来越多但能修复底层漏洞的人根本没有那么多 [106] - AI让过去世界所有的“贵”都变得荡然无存，科学发现、写代码、复制软件、攻击、防守全在加速，好的坏的一起疯狂加速 [98][109] - 红皇后效应：拼尽全力地跑才能留在原地，停下来的代价是那些没人记得的老网站、15年前搭好再没登录过的后台、还在跑PHP 5的公司系统，在慢世界可安稳多年在快世界就是活靶子 [109][110] - 世界有无数不再维护的PHP老项目现在全是靶子 [111] - 人跑不过AI已不用辩论，但每个关键决策节点站的依然是人，有善意有恶意，AI可让人类一夜拥有难以想象的力量却无法让人一夜学会与力量匹配的克制 [113][114][116]