除非你一直与世隔绝，否则你肯定很难错过最近那两条名字起得特别“顺口”的安全漏洞报告——CVE-2026-109618和CVE-2026-109619。在媒体口中，这场风波被形象地称为“PHP末日”，而在圈内行话里，大家更习惯叫它“PHP2Shell”。
根据CVSS v4.0标准，它的危险评分高达9.2分（满分10分）。这基本上意味着它属于那种“坏到不能再坏”的顶级严重漏洞了……
此漏洞允许任何人执行他们想要的任何代码，从而在运行 PHP 的 Web 服务器上进行操作。由于估计 70% 的网站目前运行着受影响版本的 PHP，因此它获得了高分。PHP2Shell 影响了哪些版本的 PHP？几乎所有版本——尤其是那些运行 WordPress 的版本，因为 WordPress 使用 PHP 来提供应用程序。许多网站在后台使用 WordPress，而不仅仅是那些博客网站。这包括本博客以及我们其他几个相关网站。
这个PHP漏洞是由一个AI代理联盟发现的，其中包括OpenAI。很高兴它被发现了，更好了，现在已经有PHP2Shell PHP补丁可用，并且CloudFlare已经部署了防护措施以帮助防止“恶意行为者”利用它。话虽如此，你会看到许多网站出现“一些问题”，因为全球各地的IT团队正在努力修复这个问题，其中包括一些Embarcadero和Idera服务器。
我们的（Idera）IT团队一直在全力以赴地修补所有可能受影响的服务器。由于我们还使用CloudFlare来帮助保护我们的服务器，因此我们还受益于他们的缓解规则。只有鲁莽的IT管理员才会说他们的服务器100%安全，不会被互联网上的坏人攻击，但我们对此高度重视，并遵循所有可用的建议和最佳实践。如果您拥有自己的网站或博客，并且尚未进行修补，我强烈建议您放下手头所有事情来处理这个问题。在大多数情况下，具体流程取决于您的Web堆栈有多老以及您的服务器有多新——但无论如何，我们对您的安全同样重视我们自己的安全。
我可以尝试在这里就 Delphi 的固有安全性得分，因为它编译成原生代码，并且 WebStencils 在处理网页内容时并不使用 PHP——但 PHP 是一种可靠且备受喜爱的语言，这是理所当然的。问题本身并不在于 PHP，而且在它潜伏了几十年后，需要 巨大的、协调一致的人工智能努力才能找到这个问题。向 PHP 团队 竖起大拇指，感谢他们迅速着手并发布了补丁。
详细内容请参考：The PHP Apocalypse
