深度解读全球 72 小时安全风暴：PHP 事件只是第一枪

事件

2026年10月第三周，全球互联网运维与安全圈进入战时状态。10月21日，PHP 官方披露两个 CVSS 9.2 分的未授权远程代码执行漏洞，代号 PHP2Shell，影响从 PHP 5.4 起跨度约12年的版本。攻击者无需账号密码，发送特制 HTTP 请求即可接管服务器，而全球超过七成网站运行在 PHP 之上。同日 GitLab 爆出满分漏洞，波及过去12年版本；Node.js 修复十余个漏洞，其中4个高危；Nginx 此前一周也修补了缓冲区溢出等5个漏洞。

更棘手的是信任链问题。eMudhra 被曝存在弱熵漏洞，主流浏览器已将其拉黑，但服务器端的 curl、Python、Go 仍默认信任该证书链，可能被用于中间人攻击。与此同时，TiDB Cloud 据称遭大规模数据泄露，10.6TB 核心数据被拖走，Plex 媒体服务器漏洞链被用于挖矿和植入后门，印度国家银行 SBI 也确认数据泄露。

值得关注的是 AI 在其中的角色。PHP2Shell 的发现者明确表示借助 AI 辅助分析代码库，才快速定位这个藏了十几年的漏洞；针对 GitLab 同一正则引擎，研究员用 AI 在一个月内连续找出四个刁钻漏洞。AI 让漏洞发现更快，也让补丁拆解和攻击脚本批量生成更容易，攻防竞速窗口被进一步压缩。

来源

本条目由采集管线自动抓取并发布，完整内容见下方来源链接。

*采集源：雷锋网*