PHP2Shell漏洞检查工具来了：OpenAI开源一键检测，PHP两大高危漏洞CVSS达9.2

全球网站服务器的地基出了裂缝。广泛支撑着 WordPress、Drupal 以及各类网站系统的 PHP，近日被披露两项被统称为「PHP2Shell」的高危漏洞，CVSS v4.0 严重程度评分双双达到 9.2 分。更麻烦的是，攻击者可能不需要登录网站，就能远程执行恶意代码。OpenAI 在 2026 年 10 月 21 日公开了免费开源检查工具 php2shell-checker，让站长可以通过网址、终端或 Codex AI 代理，快速判断自己的 PHP 版本是否落在风险范围内。

PHP2Shell是什么：PHP本体爆出两项9.2分高危漏洞

先说清楚 PHP2Shell 是什么。PHP 是全球网站用量最大的服务器端语言，也是 WordPress 等内容管理系统的运行基础。这次的问题不在于某个插件或主题，而是出在 PHP 执行环境本身，因此影响面比一般的网站程序漏洞大得多。据 PHP 官方安全公告，两项漏洞编号分别为 CVE-2026-109618 与 CVE-2026-109619，主要与 PHP 的内存管理及错误处理机制有关：当服务器收到经过特殊构造的 HTTP 请求时，可能触发内存异常，轻则敏感数据外泄、服务中断，重则让攻击者拿到远程代码执行（RCE）能力。受影响的运行方式包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 与 LiteSpeed 等，其中 Apache 搭配 mod_php 的组合被认为攻击风险特别高。

攻击已现：官方提前释出修补版本

时间线上有个插曲：相关修补信息原计划 10 月 22 日公开，但由于部分漏洞细节提前外流，PHP 官方把安全公告与补丁发布提前到了 10 月 21 日。Cloudflare 也证实已经观察到针对 PHP2Shell 的恶意攻击流量，并提前部署了Web 应用防火墙（WAF）防护规则。对没有套 Cloudflare、或者还不清楚主机 PHP 更新状态的站长来说，眼下最重要的事仍是核对 PHP 版本并尽快打补丁。官方已释出的修补版本为：PHP 8.5 需升级到 8.5.12 以上，PHP 8.4 需 8.4.27 以上，PHP 8.3 需 8.3.36 以上，PHP 8.2 需 8.2.35 以上；至于 PHP 8.1 及更旧的分支已停止常规安全维护，建议直接规划升级到仍在支持的版本。

OpenAI开源php2shell-checker：不触发漏洞的保守检测

再看 OpenAI 这次交出的工具。php2shell-checker 以 Apache License 2.0 在 GitHub 开源，用 Node.js 编写，不依赖任何第三方 npm 套件，同时支持「网址检查」和「本机检查」两种模式。和那些会真正触发漏洞的渗透测试工具不同，它走的是保守路线：不主动发送漏洞利用代码，只通过比对 PHP 版本信息与已知受影响范围来判断风险。网址模式下，工具会读取网站 HTTP 响应头里的 Server、X-Powered-By 等字段来识别 PHP 版本；如果能登录主机，也可以直接检查本机 PHP 可执行文件的版本。工具还支持 JSON 格式输出与不同的结束代码，方便运维把它接进自动化巡检流程。

phpcheck-url与phpcheck-server怎么选

配套的 Codex Skills 分成 phpcheck-url 与 phpcheck-server 两个，差别在于你手里有没有服务器权限：前者只要知道网址就能查，靠 HTTP 标头做初步判断，适合用虚拟主机或托管服务、没有 VPS 管理权限的站长；后者需要主机访问权限，能拿到真实的 CLI 版本号，可信度更高，适合自建 VPS 或管理多台 WordPress 站点的管理员。要注意的是，如果网站刻意隐藏了 PHP 版本信息，网址模式可能查不出结果，这时应以服务器上实际绑定的 PHP-FPM 或 Apache 运行版本为准。安装也很简单，在 Codex 里输入 $skill-installer 指令从 GitHub 安装两个技能，之后用 $phpcheck-url check 加上自己的网址即可执行检查。

检测结果怎么看：OK不代表完全安全

检测结果分三档：OK（结束代码 0）表示识别到的 PHP 版本高于工具内置的风险界线；VULNERABLE（结束代码 1）表示版本落在已知受影响范围内，应尽快确认主机更新并安装修补版本；UNKNOWN（结束代码 3）则表示无法取得版本或无法判断修补状态——这不代表网站没有漏洞，可能只是版本信息被隐藏、经过反向代理，或工具无法识别版本格式。反过来讲，即使显示 OK，也只能说明版本号通过了工具内置的比较规则，并不等于已经实际验证了安全补丁，更不能排除网站存在其他安全问题。

查出漏洞后的处理建议

查出问题怎么办？如果站点还在 PHP 8.2、8.3、8.4 或 8.5 上运行，优先确认是否已更新到官方对应的安全版本；如果还在 PHP 8.1、7.4 或更早的版本上，应尽快规划升级。使用 Debian、Ubuntu 等发行版自带 PHP 包的服务器，还要留意发行商是否已推送安全修补，及时完成系统级更新。

写在最后

对 AI30 的读者来说，这件事还有另一层观察价值：OpenAI 把一个安全检查工具做成开源项目、再包一层 Codex Skills 让 AI 代理替人执行，这是「AI 代理进入基础设施运维」的一个很具体的样本——不熟悉安全指令的普通站长，第一次可以靠自然语言完成一次正经的漏洞排查。安全防护的门槛在降低，攻击的门槛也在降低，对每一个跑着 PHP 站点的人来说，把版本升级这件事提前做掉，仍然是最便宜的那道防线。（本文依据 疯先生报道与 PHP 官方公告信息简体整理）

（文 / AI30媒体部 ｜ 2026年10月29日）