正收拾背包准备准点下班，安全群直接炸了。
PHP官方发了预警，今晚22点要更安全补丁，修两个CVSS 9.2分的高危RCE零日漏洞，编号CVE-2026-109618和CVE-2026-109619，圈内代号PHP2Shell。漏洞细节已经提前泄露，安全厂商确认是底层原生缺陷，不用依赖上层业务代码，攻击者无认证就能直接打穿服务器执行代码。
最要命的是影响范围：从PHP 5.4开始，5.x、7.x、8.0到8.5几乎全版本中招，保守估计全网一百多万台主机直接暴露在风险里。更坑的是，PHP5、PHP7、8.0、8.1这些早就EOL停更的版本，官方根本不会出补丁，大量没人维护的存量老系统，等于直接裸奔等着被扫。
为什么这个漏洞让运维圈集体失眠
和普通业务层漏洞不一样，这是PHP解释器核心的问题。
换句话说，只要你服务器跑了PHP，不管你用的是WordPress、Drupal还是自己写的老商城、祖传后台，哪怕你代码写得再规范，一样能被打穿。漏洞触发在框架运行之前，业务层的过滤、校验完全形同虚设。
下午陆续有安全厂商放出预警，说补丁一公开，几小时内就会有批量扫描工具出来。等于今晚睡一觉起来，公网上没更补丁的PHP主机，大概率就要被批量日穿。
群里已经哀嚎一片了。
有运维兄弟正在连夜盘点资产，拉清单统计全公司多少台跑PHP的机器；有做电商的更惨，手里攥着几个PHP5的老商城系统，常年没人敢动，升版本怕业务直接崩，不升怕明天起来库被人拖了；还有共享主机厂商，上万个虚拟主机全是PHP，今晚铁定全员加班。
真实踩坑提醒：别盲目升补丁，也别硬扛
说几个过来人的经验，免得有人慌手慌脚踩二次坑：
- 还在维护的版本（8.2/8.3/8.4/8.5）：等官方补丁出来第一时间更，优先灰度环境测，没问题再推生产，别上来全量更，万一补丁带兼容性问题，业务直接炸。
- 已经EOL的老版本：别等官方补丁了，不会有的。临时方案先上WAF拦截规则，收敛公网访问权限，能下公网的先下，不能下的先做访问白名单。有条件的尽快做版本迁移，拖得越久坑越大。
- 别信网上乱传的临时缓解方案：现在漏洞细节没完全公开，很多民间偏方根本不对症，瞎改配置反而容易引出新问题。
聊到这也挺感慨的，做运维和安全的，永远不知道下班前会蹦出来什么高危漏洞，常年应急加班已经成了常态。身边不少朋友也在看机会，想转更稳定的后端研发岗位。技术大厂，前端 - 后端 - 测试，全国均有机会。待遇和稳定性都还不错～感兴趣可以试试：https://jsj.top/f/o38ijj
最后说句实在的
很多人天天喊PHP已死，实际上公网上存量PHP业务的体量，比很多人想象的大得多。大量传统行业、中小电商、老政企站点，还在跑着几年前甚至十几年前的PHP版本，平时没人管，一出漏洞就是惊天巨坑。
我这边已经泡好咖啡了，等十点补丁放出来，先拉测试环境跑一遍兼容性，没问题再逐步推生产。今晚估计又要耗到后半夜了。
有没有同款在等补丁的兄弟？评论区唠唠，你们手里最老的PHP版本是多少？
