2026 年 10 月 21 日，PHP 项目为 PHP2Shell 发布紧急修补。这两个严重漏洞让攻击者只需一个请求，就能接管网页服务器。全球约七成网站使用 PHP，影响立竿见影：法国、芬兰和荷兰的政府机构，以及 Wikimedia 和 Internet Archive，都曾暂时下线服务进行修补。

如果你的业务建立在 PHP 之上，请先修补。然后问自己一个更难的问题：如果明天就要修改这些代码，你的团队能安全地做到吗？

PHP2Shell 是什么

PHP2Shell 包括两个漏洞：CVE-2026-109618 和 CVE-2026-109619，严重程度均评为 9.2 分（满分 10 分，属严重级别）。两者都允许攻击者在无需登录的情况下远程执行代码。攻击在你的应用程序代码运行之前就已发生，所以即使应用本身写得再好，只要底层的 PHP 版本存在漏洞，仍然会受影响。

• 受影响版本：PHP 5.4 至 8.5，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。
• 已修补版本：PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
• 已被利用：Amazon 在漏洞公开前四天已记录到攻击尝试，watchTowr 亦报告在修补发布当天已出现实际攻击。

这些漏洞是在 AI 的协助下发现的，发现者包括与 OpenAI 合作的 Calif 研究人员，以及 Wiz。AI 正让在旧代码中寻找漏洞变得更快、更便宜，对防守方和攻击方都一样。

“这些发现是 PHP 史上，甚至可以说是软件史上最严重的漏洞之一。”（Wiz）

第一步：今天就修补

• 更新到已修补的 PHP 版本，或从你的 Linux 发行版或主机供应商安装已修补的软件包。
• 如果无法立即更新，英国国家网络安全中心建议考虑先将系统下线。防火墙规则有帮助，但不能取代修补。
• 检查系统有否被入侵的迹象。攻击者可能在你修补之前已植入后门。

PHP 8.1 及更早版本已不再获得支持。7.4 至 8.1 版本只获得源代码修补，更旧的版本则没有任何官方修补。如果你的系统运行在这些版本上，就只能依赖供应商的向后移植修补，或自行编译 PHP。

真正的风险：没人敢碰的代码

修补 PHP 本身是容易的部分。真正的难题在于：修补需要升级到较新的 PHP 版本，而你的应用程序却无法在新版本上运行。

这种情况很常见。一套内部系统或网上商店在十年前建成，之后经过多位开发人员不断修改，文档很少，也没有自动化测试。系统仍然能用，所以没人去碰它。但每次升级都变成一场赌博，每个安全修补都变成一个项目。

这不只是 PHP 的问题。Python 同样会有漏洞，任何语言都可能写出难以维护的代码。PHP2Shell 之所以让许多团队如此头痛，问题不在语言本身，而在于被困在旧版本上，代码也没有人完全理解。

为什么用 Python 重建

如果旧系统反正需要现代化，Python 是一个很好的选择。

• 最受欢迎的语言：Python 在 TIOBE 指数中排名第一（2026 年 10 月为 19.23%），更容易招聘开发人员，也更容易找到维护良好的程序库。
• AI 的语言：大部分 AI 和数据工具都以 Python 为优先。系统转用 Python 之后，要加入聊天机器人、预测模型或文件自动化就简单得多。
• 天生易读：Python 语法简洁，代码更容易阅读、审查和交接给新成员。
• 默认安全：Django 内置防范 SQL 注入、跨站脚本（XSS）和 CSRF 攻击，FastAPI 则会根据类型化数据模型验证每一个请求。
• 现代工具：类型提示、自动化测试、代码检查工具和依赖项扫描，都是 Python 生态的标准做法。

MAGO AI 如何把 PHP 迁移到 Python

我们把旧的 PHP 系统用 Python 重写和翻新，并配以 AI 生成的文档，让成果易读、易维护，并符合现今的行业标准。

• 审计：我们用 AI 梳理你现有的代码库，包括每个页面、数据库表、系统集成和业务规则，连没人记得是谁写的部分也不例外。
• 文档：由 AI 生成、经我们工程师审阅的文档，说明系统做什么、为什么这样做。
• 重建：我们按模块逐步用现代 Python 重写系统，在结构、类型和安全方面遵循行业标准。
• 验证：每个模块上线前，自动化测试都会核对新系统的行为与旧系统一致。
• 交接：你会得到整洁、有文档的代码，你自己的团队或任何 Python 开发人员都能维护。

是时候迁移了吗？

问自己三个问题：

• 你的系统运行哪个 PHP 版本？它是否仍获支持？
• 新加入的开发人员能否在一星期内理解并安全地修改代码？
• PHP2Shell 让你的团队花了几小时修补，还是几天？

如果答案让你担心，欢迎联系 MAGO AI。我们会检视你的 PHP 系统，并建议清晰的方案，无论是用 Python 全面重写、分阶段迁移，还是为现有系统补充更完善的文档。