10月21日，PHP官方发布紧急更新，修复两个被统称为“PHP2Shell”的严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619)，官方危险评分均为9.2（满分10分）。PHP是一种开源的通用脚本语言，广泛用于网站和Web系统开发。

 

　　据相关安全研究披露，攻击者可能通过特制HTTP请求，在无需身份验证的情况下触发PHP运行时的内存安全问题，进而实现远程代码执行。具体风险还与PHP版本、运行方式及部署条件有关。

 

　　值得关注的是，这轮漏洞发现中，AI辅助安全研究发挥了重要作用。据OpenAI官方博客，安全研究团队Calif借助GPT-5.6 Sol发现其中一个关键漏洞，Wiz则独立发现并报告了两个漏洞。OpenAI团队还参与了漏洞研究、技术支持和协调披露工作。此次事件表明，AI不仅可以辅助代码分析和漏洞发现，也有望帮助防御方更早识别风险，为软件维护者和安全服务商争取修复时间。

 

　　据W3Techs统计，在可识别服务端语言的网站中，PHP约占七成。Wiz同时强调，漏洞能否被利用，取决于具体版本、配置与部署方式，不能把PHP的广泛使用等同于所有相关网站都会被攻破。冲击已在多地显现：日本多款游戏服务及Pixiv等网站紧急维护，荷兰国家网络安全中心（NCSC）官网及司法机构若干网站暂停服务。

 

　　更紧迫的是，漏洞公开前已观测到早期攻击尝试。Cloudflare报告称，其网络观察到了针对相关漏洞的攻击流量；watchTowr也报告其蜜罐捕获了利用尝试的活动记录。这意味着高校不能仅等待后续威胁情报，而应尽快完成资产排查和修复。

 

　　对高校而言，这组漏洞指向的是一批容易被忽略的存量系统：学校官网、新闻网、二级学院主页等网站群，以及公众号、小程序后台和轻量业务系统，不少仍运行在PHP环境上，由不同部门分别建设、各自运维。对外直接暴露的应优先排查，校内系统若做了公网映射同样需要检查。这类系统平时少有人关注版本，若长期不更新，就可能成为校园网的薄弱环节。

 

　　根据通告及PHP官方修复建议，相关单位可结合自身情况开展处置：清点PHP资产及版本信息，确认是否处于受影响范围；具备升级条件的，在做好数据备份的前提下，升级至更高级别的安全版本；暂不具备升级条件的，应增加防护措施并限制服务暴露范围。

 

　　截至发稿，国内已有高校陆续发布相关风险通告，资产清点与版本升级工作正在推进。从全球处置进程看，AI辅助的漏洞发现正从研究探索走向大规模协同实战；此次事件也是对存量PHP资产安全状况的一次集中检验，值得高校信息化部门持续关注。