昨晚的互联网经历了一场堪称“史诗级”的宕机潮。无数政企网站紧急关停，不是黑客攻击，而是一颗埋在PHP底层的雷炸了——两个潜伏超过十年的高危漏洞被公之于众，CVE编号CVE-2026-109618和CVE-2026-109619，CVSS评分高达9.2，安全公司watchTowr甚至给了满分10.0。攻击者不需要登录，只需发送特制请求就能在服务器上执行任意代码，通俗点说，相当于把整台服务器拱手让人。
有趣的是，这次漏洞是AI揪出来的。OpenAI透露，安全公司Calif早在8月就用GPT-5.6 Sol发现了它；另一家Wiz则借助Gemini 4 Argon和GPT-5.6 Sol独立复现了问题。OpenAI牵头协调，原本计划22日发布补丁，但消息20日提前泄露，官方不得不紧急将补丁提前到21日发布——这也引发了全球网站管理的连锁混乱。
芬兰国家土地测量局、法国政府网站、荷兰网络安全中心、鹿特丹港……大量欧洲政企网站选择直接下线避险。PHP撑起了全球约70%的网站，WordPress、Drupal、Magento这些知名框架都是基于它构建的。Palo Alto Networks通过遥测发现超过2260万个公网暴露的PHP实例可能受影响；独立研究员估算实际风险主机在130万到190万台之间。日本首相罕见地在社交平台上用“重大事件”来形容，呼吁网站管理者连夜处理。
修补方案其实很清晰：PHP官方在10月21日发布了8.5.12、8.4.27、8.3.36、8.2.35四个版本的安全补丁。但问题在于官方只维护8.1之后的版本，大量老旧PHP应用（尤其是政企系统）根本无法快速升级。关站停服就成了最无奈也最直接的防御手段。
然而本周安全圈的雷不止这一个。Node.js也被曝出10个漏洞，其中4个高危；印度一家CA证书机构更贡献了年度最离谱操作——把证书密钥设为“4”，原本应该是70多位随机数，这个密码在黑客眼中和明文无异。好在Chrome和Firefox在几小时内火速拉黑了该机构的8个证书。互联网的根基，正在经历一场不眠夜。
