补丁不在插件里：PHP 引擎自身的两个致命漏洞
来源：dev.to — 2026-10-22
📋 概述
10 月 21 日 PHP 发布安全版本修两个严重漏洞，社区合称 PHP2Shell。作者的判断是这次和以往不同：以往漏洞多在应用或插件里，打上补丁就完事；这次在引擎，也就是解析你的 PHP、分配内存、在每个请求结束后负责清理的那层 C 程序。PHP 是 shared nothing 模型，请求结束就丢掉整个小世界，而两个 bug 都出在「请求中途失败时，清理代码仍然假设了一个已经不成立的中间状态」。所以你输入校验、预处理语句、输出转义全做对了，脚下那层照样能被打穿。
🔑 核心要点
- W3Techs 统计 69.3% 可识别服务端语言的站点跑 PHP，WordPress、Laravel、Drupal 全在射程内。
- 攻击请求必须先穿过引擎才轮到你的代码，mod_php 模式下它在 WordPress 加载之前就执行。
- 命门是「请求中途失败」时的引擎清理路径，而不是业务逻辑里的某个拼接。
💡 金句
“You can write the most boring, correct PHP of your life, and the floor below it can still have a hole in it.”
译：你可以写出这辈子最无聊、最正确的 PHP，而它脚下的地板照样可能有个洞。
← 返回 dev.to 首页