昨天晚上，欧洲多国的政府网站在同一时间陆续下线。芬兰交通与通信局把部分在线服务关了；荷兰的电子身份系统 DigiD、荷兰政府的个人服务平台 MijnOverheid、政务门户全部暂停服务，甚至连荷兰国家网络安全中心自己的网站都一度关闭……
在日本，多个知名互联网社区平台，日本最大的插画/漫画/小说投稿社区 pixiv、日本老牌弹幕视频网站 Niconico、pixiv 旗下的创作者电商平台 BOOTH 等平台都宣布了紧急维护。
甚至还有寿司郎，也在官方平台宣布因系统维护升级，今天小程序暂停运行。
让这么多机构如临大敌的，是两个刚刚公开编号的漏洞：CVE-2026-109618 和 CVE-2026-109619。
安全社区给它们起了个直白的绰号 PHP2Shell。意思是攻击者往你的网站发一个请求，就能在你的服务器上拿到一个 shell（命令行入口），也就是为所欲为的控制权。
10 月 21 日，PHP 官方发布紧急更新 8.5.12、8.4.27、8.3.36 和 8.2.35，同时确认：两个漏洞的严重程度均为 CVSS 9.2 分（满分 10），不需要账号密码就能远程利用。
且在 Apache，即世界上用得最久的开源 Web 服务器软件，PHP 最常见的部署方式下，攻击在网站自己的代码开始运行之前就已经触发。
按照原计划，漏洞细节应该在 10 月 22 日协调披露。但 10 月 20 日下午，Hacker News 上出现了一条帖子，宣称 PHP 存在两个评分 10.0 的远程代码执行漏洞。
尽管帖子很快被删，但截图已经传开。有安全公司 watchTowr 几小时内就出面确认，这份泄露属实，漏洞是真的，而且他们已经复现了其中一个。
PHP 安全团队当晚紧急发布预警，把发版时间提前了 24 小时，并罕见地加了一句：「如果漏洞细节被公开，或者出现在野利用（ in-the-wild exploitation）的证据，我们保留进一步提前发布的权利。」