做网站、开小店、帮人打理博客的人，这大概是今年最该花十分钟处理的一件事。
10月21日，PHP官方一次性发布了四个安全更新（8.5.12 等版本）。原因是有两个被评定为”严重”级别的漏洞被公开——代号 PHP2Shell，评分 9.2（满分10分），攻击者不用登录、不用任何密码，就能远程在你的服务器上执行代码，进而读取文件、访问数据库。
而这两个漏洞，是AI挖出来的。OpenAI 的 GPT-5.6 Sol 和谷歌旗下安全公司 Wiz 几乎同时独立发现了它们，影响范围从 PHP 5.4 一路覆盖到 8.5——也就是说，过去二十年建的PHP网站，基本都在名单里。
这篇不谈技术原理，只谈一件事：你现在该做什么。
先花30秒，判断你需不需要管
照这张表对号入座：
- 你有自己的网站（博客、公司站、小店官网、论坛） → 需要处理，继续往下看；
- 你的网站用WordPress、Discuz、ThinkPHP、织梦、帝国CMS等建的 → 需要处理，这些全是PHP写的；
- 你只是网站的访客，不做站 → 不用管，这不是你的责任；
- 你的网站是托管在平台上的（比如某些自助建站、淘宝店、公众号） → 交给平台，你可以去问客服”PHP版本是多少”。
大概率，这篇文章对前两类人有实际价值。而如果你手上管着好几个站，值得认真看完——这次的事件性质，和以往不太一样。
为什么这次的警告级别这么高？
美国国安局（NSA）给出的建议很直白，甚至有点罕见：没法立刻打补丁的网站，先下线。
能让NSA说出”先关掉”的话，通常意味着两件事：一是漏洞利用门槛极低，二是已经有实际攻击在发生。公开报道显示，维基媒体（维基百科的运营方）以及《赛马娘》等多款日本游戏已经选择临时停服处理。
这里有个细节值得注意：这些漏洞藏在PHP的内存管理和错误处理机制里——那是语言最底层、二十年没人动过的地方。它们不是新代码写出来的bug，而是”一直在那儿，只是没人发现”。
发现它们的是AI。这一点，比漏洞本身更值得琢磨。