目前结论
Cloudflare 报告称，针对两个关键 PHP 漏洞的利用尝试达数百万次，其中数千次发生在公开披露之前；此前 PHP 基金会发布了紧急补丁，并承认资源短缺导致修复延迟。
进展时间线
16 次实质进展- #01
【慢雾：PHP 存在两个严重安全漏洞，建议相关团队排查使用 PHP 的服务器及业务系统】
SlowMist 警告 PHP 存在两个 CVSS 9.2 的关键漏洞，可能允许远程代码执行，敦促各团队审计基于 PHP 的服务器和业务系统，并应用定于北京时间 10 月 21 日 22:00 发布的官方补丁。
来源依据：foresightnews · theblockbeats · theblockbeats · theblockbeats · theblockbeats · wublockchainenglish · theblockbeats · theblockbeats · Decrypt
- #02
PHP2Shell：AI 发现 PHP 中的关键 RCE
Wiz 公开披露 PHP2Shell 技术细节：多个 PHP 核心漏洞（含 RCE、释放后使用、OPcache 类型混淆等）映射到两个 CVE，并提供针对 WordPress、Drupal、Joomla 的概念验证利用，且披露过程涉及 AI 辅助发现。
此后状态：PHP2Shell 漏洞的技术细节与概念验证利用已公开，利用风险上升；官方补丁仍按计划准备发布，需紧急排查和缓解。
来源依据：danlark1
- #03
更新版 PHP 已发布至 GitHub
PHP 8.2.35 已发布至 GitHub，作为与 Wiz、Calif 和 OpenAI 协调披露的关键 RCE（“php2shell”）的修复版本，社区成员指出该发布提交似乎与任何分支脱钩。
来源依据：tuyuri
- #04
PHP曝出严重安全漏洞，欧洲多国政府网站大规模下线
PHP 修复漏洞的新版本已正式发布；同时有报道称黑客正利用漏洞入侵网站，荷兰、芬兰等多国政府、医院及港口网站已预防性下线并紧急修补。
此后状态：PHP 漏洞补丁已正式发布，但活跃利用报告和欧洲多国关键网站预防性下线表明风险与影响正在扩大，相关系统需立即更新和缓解。
来源依据：theblockbeats
- #05
OpenAI复盘PHP漏洞风波：秘密协调两个月，却被论坛提前泄密
OpenAI 复盘披露：该 PHP 漏洞由 AI 模型辅助发现，OpenAI 牵头进行了约两个月的秘密协调；原计划 10 月 22 日公开，但 10 月 20 日 Hacker News 论坛提前泄露漏洞编号、严重程度和披露时间，迫使 PHP 提前发布警报并将补丁发布日期提前一天；修复涉及近 200 个文件、超过 1 万行代码。
此后状态：PHP 已于 10 月 21 日发布修复版本；OpenAI 复盘确认 AI 辅助发现和两个月协调过程，并披露论坛提前泄密迫使 PHP 提前警报、补丁发布提前一天，Cloudflare 已观察到早期攻击尝试，部分政府网站主动下线避险。
来源依据：theblockbeats
- #06
⚡️美国白宫：10月16日已获悉PHP漏洞，正协调加快修复补丁发布
美国白宫表示已于10月16日获悉PHP安全漏洞，正与联邦机构及系统集成实验室协调加快修复补丁发布，并评估漏洞对政府系统和关键基础设施的潜在影响。
此后状态：PHP漏洞补丁已发布且存在活跃利用与欧洲关键网站预防性下线；美国白宫已介入协调联邦机构加快修复并评估政府及关键基础设施风险。
来源依据：theblockbeats
- #07
今日的 PHP 安全版本，以及我们如何加强 PHP 安全
PHP 基金会披露，Chainguard 在协调发布前六个多小时单方面违反禁运并发布含修复的镜像，导致 Calif 误发视频；这为同一 PHP 安全发布事件增加了发布流程和禁运被破坏的新事实。
此后状态：PHP 2026-10-21 协调安全发布已发生，但禁运被 Chainguard 提前破坏，并引发 Calif 误发视频及社区批评，发布流程处于事后争议与补救讨论阶段。
来源依据：ejohnso49
- #08
全球70%的网站被发现存在可远程利用的PHP漏洞
两个被合称为PHP2Shell的严重PHP漏洞允许未认证攻击者在Web服务器上执行代码，尽管PHP 8.2+已发布紧急补丁，但超过三分之一的PHP网站仍未修补，约80万台主机运行的版本将永远不会获得修复。
来源依据：Protos
- #09
谁发现了那个让各国政府下线网站的 PHP 漏洞？当然是 ChatGPT
OpenAI 总裁 Greg Brockman 表示，公司在其“Patch the Planet”计划下，用自家模型主导了一个为期两个月的联盟，发现并修复了 PHP 核心中的 PHP2Shell 漏洞。安全公司 Calif 于 8 月使用 OpenAI 的 GPT-5.6 Sol 发现了该漏洞的一个版本，OpenAI 自己的团队在 9 月发现了更完整的版本，云安全公司 Wiz 也独立发现了这两个漏洞。 这些漏洞的 CVSS 评分为 9.2，可让未通过身份验证的攻击者在运行 PHP 的服务器上执行任意代码；在已知服务端语言的网站中，约 70% 使用 PHP。细节泄露一天后 PHP 才发布修复。芬兰、荷兰和法国于周三下线了政府网站。Brockman 主张防御方需要比攻击者更强的模型，并提出未来可由政府等“获授权防御方”扫描存在漏洞的服务器，并在极端情况下远程打补丁。 Brockman 称该漏洞在 PHP 中存在了 14 年，2024 年曾出现一个有限版本，但“当时未被认为影响重大”；细节开始泄露后，发布时间从原定的 10 月 22 日提前到 10 月 21 日。OpenAI 表示还在修复“若干其他重大漏洞”，包括周三公布的 Node.js 远程代码执行漏洞，并承诺为其关键基础设施防御者计划 Daybreak 提供价值 10 亿美元的补贴访问额度。
来源依据：Decrypt
- #10
PHP 基金会承认“结构性失误”延误关键安全修复
PHP 基金会为两个严重漏洞发布紧急补丁，这些漏洞可能让未经身份验证的攻击者在受影响的服务器上执行代码；此前该基金会承认结构性失误导致 2024 年首次发现的修复被延误，同时一些政府网站已作为预防措施下线。
来源依据：Cointelegraph
- #11
PHP Foundation承认结构性失误，关键安全漏洞修复延误
PHP 基金会公开承认，因决策迟疑和资源不足，针对 2024 年首次发现的关键漏洞的修复多次停滞并重启，并将延误定性为“结构性失误”；同时，德国和澳大利亚的部分政府网站或在线服务也因准备安装补丁而一度下线。
此后状态：PHP2Shell 严重漏洞的紧急补丁已发布，但 PHP 基金会承认修复过程存在结构性失误和延误；荷兰、芬兰、法国、德国及澳大利亚部分政府网站或在线服务曾为安装补丁而下线。
来源依据：theblockbeats
- #12
PHP漏洞波及日本多方，日本政府已暂时停止公开部分网站内容
日本内阁官房长官木原稔表示，受PHP严重漏洞影响，日本金融机构、企业、地方政府及政府机关等均受影响，但截至目前未收到损害报告；厚生劳动省、财务省等政府部门已出于预防目的暂时停止公开部分网站内容，并建议相关机构安装修复补丁。
此后状态：PHP基金会为两个严重漏洞发布紧急补丁后，日本成为最新受影响国家：日本政府部分部门网站出于预防暂停公开内容，金融机构、企业和地方政府也受影响但暂无损害报告。
来源依据：theblockbeats
- #13
WordPress回应PHP严重漏洞：建议网站运营方立即更新升级
WordPress 警告网站运营者立即更新 PHP，并确认托管服务商的补丁和 WAF 缓解措施，因为一个严重的 PHP 漏洞影响运行 PHP 应用的服务器。
来源依据：theblockbeats
- #14
PHP严重漏洞曝光后攻击激增，Cloudflare监测到数百万次尝试
Cloudflare 首席执行官马修·普林斯表示，在 PHP 严重漏洞公开披露后，Cloudflare 监测到数百万次利用尝试；披露前 10 小时为数千次，披露后 45 分钟内升至数万次，两小时内达数十万次，目前已达数百万次。
此后状态：PHP 基金会已为两个严重漏洞发布紧急补丁，日本及欧洲等地部分政府网站出于预防暂停或下线内容；Cloudflare 进一步报告漏洞披露后利用尝试激增至数百万次。
来源依据：theblockbeats
- #15
中国工信部NVDB发布关于防范PHP远程代码执行超危漏洞的风险提示
中国工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）针对同一组 PHP 远程代码执行超危漏洞发布风险提示，并列出受影响版本范围：8.5 系列＜8.5.12、8.4 系列＜8.4.27、8.3 系列＜8.3.36、8.2 系列＜8.2.35、8.1 系列及更早版本。
此后状态：PHP 基金会已发布紧急补丁；日本、欧洲及澳大利亚等地部分政府网站曾出于预防暂停或下线内容；Cloudflare 报告披露后利用尝试达数百万次；中国工信部 NVDB 现已发布风险提示并明确受影响版本范围。
来源依据：theblockbeats · foresightnews
- #16
PHP 漏洞引发数百万次利用尝试，Cloudflare CEO 发出警告
Cloudflare 报告称，针对两个关键 PHP 漏洞的利用尝试达数百万次，其中数千次发生在公开披露之前；此前 PHP 基金会发布了紧急补丁，并承认资源短缺导致修复延迟。
来源依据：Cointelegraph