一个漏洞牵动全球半个互联网：任天堂等站点集体下线

前两天，不少游戏玩家打开官网、论坛和活动页面时都发现进不去了，第一反应多半是“服务器又被打了？”其实这次并不是哪家厂商单独出了故障，也不是常规版本更新，而是全球互联网底层出现了一个影响范围极广的“大洞”：

全球约70%网站都在用的 PHP 编程语言，被曝出两个顶级高危远程代码执行漏洞，代号 PHP2Shell，编号分别为 CVE-2026-109618 和 CVE-2026-109619，危险评分高达 9.2 分（最高10分），而且这两个隐患已经在 PHP 代码里潜伏了十几年，这次是由 AI 大模型辅助安全研究员扫描并验证出来的。

据 The Verge 等媒体报道，大量使用 WordPress 搭建的网站都处在风险区间，其中日本游戏和 ACG 圈受影响尤其明显。《碧蓝幻想》《公主连结Re:Dive》《赛马娘》《命运-冠位指定》《影之诗：超凡世界》《宝可梦冠军》《宝可梦 HOME》《宝可梦 Sleep》《刀剑乱舞ONLINE》《刀剑神域：关键斗士》《最终幻想14》等众多热门手游均在漏洞信息泄露当晚宣布紧急维护。

除了游戏，大量二次元及 ACG 生态站点也同步进入停服避险状态，如插画社区pixiv、视频弹幕网niconico、任天堂Switch部分网络服务、Steam 相关功能都先后出现访问异常或临时下线。

多家厂商明确表示，目前尚未确认漏洞已被利用，也未发现用户资料外泄，这次维护主要是补丁发布前后的预防性处置。

这次漏洞之所以引发关注，是因为它不在网站业务代码里，而是在 PHP 引擎底层。简单来说，攻击者在特定条件下不需要账号密码，只要向服务器发送一个特制请求，就可能远程执行代码，进而篡改网页、读取数据，甚至接管服务器。

更麻烦的是，这个隐患在 PHP 代码里潜伏了十多年，PHP 团队早在 2024 年审计时就注意到相关隐患，但当时没能证明它真的能被利用，漏洞修复工作也随之被搁置，直到今年 8 月被安全公司借助 AI 辅助发现，原本计划在保密状态下修复后再公开，结果 10 月 20 日漏洞信息提前泄露，迫使 PHP 官方在 10 月 21 日紧急发布补丁。

漏洞一公开，全球互联网立刻进入应急状态。

荷兰、芬兰、法国等国家的部分政府网站、医院、高校和公共服务站点一度主动下线避险，日本首相也公开呼吁尽快打补丁，来不及修复的可以先停站。美国 FBI、CISA、NSA 和英国 NCSC 都发出警告，国内阿里云、腾讯云、Cloudflare 等主流云服务厂商也紧急推送了防护规则。

但常规 WAF 只能拦截部分已知攻击路径，无法实现完全规避。官方态度很明确：没有完美的临时解决办法，最稳的还是升级到修复版本。

目前，PHP 官方已发布 8.5.12、8.4.27、8.3.36、8.2.35 等安全版本，但大量仍在运行的PHP 8.1 及更早版本已停止官方支持，只能依靠发行版、LTS 厂商或自行编译补丁。所以这次很多厂商选择“先下线、再升级”，并不是已经确认被黑，而是风险太高，宁可临时关站避险。

对企业运维者来说，WordPress、Drupal、Joomla、Magento、Laravel 等主流建站系统和开发框架都可能受到影响，论坛、电商平台、政务站点、医院预约系统、学校网站等都在风险范围内。如果企业自行运维服务器，需要立刻排查 PHP 版本，能升级的尽快升到安全版本；运行在旧版 PHP 上的老系统更麻烦，因为官方已经停止维护，只能靠发行版或服务商回溯补丁，或者干脆迁移升级。长期不修这种高危漏洞，还可能带来数据泄露、业务中断和合规压力。

对普通互联网用户来说，绝大多数人并不直接运行网站或服务器，基本不需要自行操作修复。但日常使用的博客、学校官网、医院预约系统、政务平台，如果后台管理员没有及时完成漏洞修复，后续就可能出现页面打不开、数据泄露或账号异常等问题。如果用户自己曾使用虚拟主机、宝塔面板、Discuz、ThinkPHP 之类搭过站，最好问一下服务商是否已经完成升级。

这场席卷全球的安全风波也再次说明，互联网很多服务都建立在少数几个“地基级”基础组件上，PHP 就是其中之一。平时大家可能感觉不到它们存在，可一旦底层出问题，游戏、政务、媒体、电商、个人博客等几乎所有线上服务都可能同时受影响，可谓半个互联网都会跟着抖一下。

而 AI 正在改变漏洞攻防的节奏，它既能让防守方更快发现隐患，也可能让攻击方更快写出利用工具。OpenAI 此前就公开预判，未来几个月类似由 AI 辅助发现的高危漏洞可能会明显增加。所以这次 PHP2Shell 不只是一次紧急补丁，更像是一个无法回避的警示：那些我们习以为常、运行了十几年的底层代码，从来都不是绝对安全的。AI正在把过去几十年里藏在代码深处的旧账逐一翻出，未来这样的全行业应急事件，只会越来越多。