安全警报拉响！近日，由 AI 大模型辅助挖掘的 PHP 核心高危漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）在全球安全圈引发震动。荷兰、芬兰、法国等欧洲多国政府网站、公共服务平台为规避攻击风险，选择临时下线避险。

作为支撑全球约 70%～75% 网站运行的底层脚本语言，PHP 广泛应用于政府门户、企业官网、电商系统、CMS 平台。本次漏洞 CVSS 评分高达 9.2 分，属于严重级远程代码执行漏洞：攻击者无需身份认证，仅通过构造特殊 HTTP 请求，即可触发内存破坏，远程执行任意代码，一旦攻陷服务器，网站篡改、业务数据泄露、密钥与凭证失窃、系统被植入后门等风险接踵而至。

更值得警惕的是：该漏洞在 PHP 代码库中潜伏超过十年，依靠传统人工审计长期未能发现；而 AI 既能高效挖掘漏洞，也会被黑客用来快速逆向漏洞、批量生成攻击载荷，攻防两端同步进入 AI 加速时代。补丁一经公开，大规模攻击浪潮随时可能到来。

PHP 官方已于 10 月 21 日发布修复版本：8.5.12、8.4.27、8.3.36、8.2.35。安全机构统一提示：升级补丁是最根本的修复手段；对于早已停止维护的老旧 PHP 版本，不存在官方补丁，需尽快迁移、隔离或下线处理。

很多机构存在一个误区：漏洞来了，打完补丁就万事大吉。 本次事件清晰揭示：底层运行环境、代码组件的漏洞防不胜防。除此之外，也需要加强对网站身份、数据传输、证书体系管理的重视，降低安全风险，守住核心业务底线。

作为专业数字认证服务商，CnTrus 数字认证提示大家：

HTTPS / SSL 证书：数据加密传输，抵御中间人攻击。全站 HTTPS / SSL 加密，验证网站真实身份，保障用户浏览器和服务器之间传输的数据不被泄露、篡改。

证书生命周期全流程管理：统一管理 SSL 证书、签名证书、设备证书，自动监控证书过期、异常访问；一旦发生服务器失陷、疑似私钥泄露事件，可快速执行证书吊销，切断攻击者利用证书建立加密通道、发起签名操作的通道，防止横向渗透。

补丁解决 “代码漏洞”，密码与数字认证解决 “信任问题”。AI 正在重塑网络攻防格局，漏洞发现速度越来越快、攻击扩散周期越来越短。没有绝对无漏洞的代码，但我们可以构建 “多层纵深、密码兜底” 的可信安全架构。

CnTrus 数字认证持续关注国内外重大漏洞预警，为政企、金融、医疗、互联网客户提供SSL证书等可信数字服务，助力客户构建自主可控的网络信任根基。