美国国家安全局这次说得直白：运行 PHP 的服务器，要么打补丁，要么下线。两个被命名为 PHP2Shell 的关键漏洞出现在 PHP 核心，由加利福尼亚的研究人员借助 GPT-5.6 Sol 发现。NSA 已发出警告，敦促各组织在两个动作里选一个：升级修复，或者把未修补的机器从网络上摘下来。没有第三种选项。
真正值得警惕的是漏洞触发的位置。攻击方式在 Apache 的 mod_php 模块上完成了演示，恶意请求在应用代码开始执行之前就已经触发。这意味着你写了三年的参数校验、权限判断、框架中间件，根本没有出场的机会。WAF 和应用层防护在这一层几乎是失效的。那些习惯认为“代码写干净就没事”的团队，得重新审视这个假设。更麻烦的是 PHP 的部署范围太广，小到个人站点，大到跑了十几年的老业务系统，版本停在哪个分支上，未必有人说得清。
处置路径不复杂，难在执行。先摸清资产：哪些机器运行 PHP，是什么版本，有没有暴露在公网。能推补丁就推；推不动、版本老到没人维护的，先把流量摘掉，不要给攻击者留下窗口。研究人员用一个模型就能挖出这种级别的东西，攻击者手里也有同样的工具，这个时间差不会站在防守方这边。
