本博客日IP超过2000，PV 3000 左右，急需赞助商。
极客时间所有课程通过我的二维码购买后返现24元微信红包，请加博主新的微信号：xttblog2，之前的微信号好友位已满，备注：返现
受密码保护的文章请关注“业余草”公众号，回复关键字“0”获得密码
所有面试题(java、前端、数据库、springboot等)一网打尽，请关注文末小程序
【腾讯云】1核2G5M轻量应用服务器50元首年，高性价比，助您轻松上云
不知道还有多少程序员关注着 PHP，这门老牌的语言，这几天可以说是“风光无限”呀，一次性爆出了两个高危漏洞，以至于不少安全类公司股价大涨。
国内用 PHP 的相比国外来说可能还不是很多，因此我们的“体感温度”可能并没有老外高，老外已经炸锅了。这次 PHP 又双叒叕出大漏洞了，CVSS 9.2，这个评分已经是相当高了。以至于，Halo 社区、WordPress、Flarum、Discuz、Drupal、Joomla、Laravel 等主流社区或框架都开启了关闭或紧急停服或临时修复。
哎，廉颇老矣，在 AI 的冲击之下，还不知道这个老牌 Web 王者还能打否？
漏洞始末
PHP 这次的 CVE-2026-109618 和 CVE-2026-109619两个高危漏洞，潜伏了十余年。出问题的代码能追溯到 2012 年。只要默认配置就会中招，黑客拿到手无需密码就能远程控制服务器。
多张文章配图参见我的公众号：https://mp.weixin.qq.com/s/vyQ34oMkJSL4UKCpmP2XGw。
目前包括德国、荷兰等多国政府紧急关停网站避险。
看我过前面文章的都知道，现在的 AI 太厉害了，找漏洞比人类在行多了。这次的两个漏洞也是 AI 先发现的，然后黑客趁机抢跑。在今年的 8月，OpenAI 和 Wiz 两家公司就靠 AI 模型发现了漏洞。本想保密修两个月再发补丁。结果 20 号消息在网上提前泄露。黑客不等了，21 号补丁上线前就抢先发动攻击。
两个月了，这补丁是得多难修呀，到底有没有好好用 AI 呢。黑客可能都看不下去了，导致多国紧急下线，旧版本仍悬着。荷兰、芬兰等国赶紧关停网站保平安。官方终于在 21 号发了四个修复版本。不过，PHP 8.1 及更早的旧版本拿不到正式更新。大量老旧网站可能永远不补，隐患会一直留着。
这次事件，对于 PHP 来说，感觉老家被抄了。
Halo 社区为何“躺枪”？
就在昨天，很多群友访问 Halo 社区（bbs.halo.run）的朋友可能看到了一张“维护通知”的截图。
PHP 官方披露了两个严重级别的远程代码执行漏洞 …… 为防止服务器在修复前被入侵，本站已在入口层暂停服务。
这就很有意思了。熟悉 Halo 的朋友都知道，Halo 本身是基于 Java (Spring Boot) 开发的，理论上跟 PHP 八竿子打不着。为什么 Java 写的程序，因为 PHP 的漏洞停服了？
仔细看公告底部的黄色小字：
与 Halo 无关：本次漏洞属于 PHP …… 本站暂停访问，是因为论坛程序 Flarum 依赖 PHP。
原来，Halo 社区为了运营论坛，使用了 Flarum 这个著名的开源论坛软件，而 Flarum 是基于 PHP 的。这就好比你住在一个坚固的钢筋混凝土（Java）房子里，但大门的锁（PHP/Flarum）坏了，为了安全，只能把整个小区封起来。
这次爆出的 CVE-2026-109618 和 CVE-2026-109619 两个漏洞，CVSS 评分高达 9.2（严重），属于远程代码执行（RCE）。这意味着黑客不需要登录，就能直接在服务器上执行任意代码。对于 WordPress、Flarum 这种暴露在公网的 PHP 应用来说，简直就是在“裸奔”。
PHP 生态老问题
这次事件再次暴露了 PHP 生态的一个老问题，历史包袱重，安全维护成本高。
看看下面这个 PHP 的图标，像不像大象屁股上中了一箭。
PHP 诞生于 1994 年，那是 Web 1.0 的蛮荒时代。它的設計初衷是“快速开发”，而不是“安全至上”。
- WordPress 占据了全球 40% 以上的网站，它是 PHP 写的。
- Flarum、Discuz!、Typecho 等老牌论坛和博客系统，也是 PHP 写的。
一旦 PHP 底层爆出 RCE 漏洞，那就是“核弹级”的影响。全球数以千万计的服务器面临被入侵的风险。这种“牵一发而动全身”的脆弱性，让很多企业在技术选型时开始犹豫。
PHP 要“凉”了吗？
现在是 Python 的天下，是 AI 的天下。
这么严重的漏洞，立马就引出了大家最关心的问题：随着 Python 的流行，PHP 是不是不行了？
我们要从两个维度来看：使用率和竞争力。
使用率在下滑
根据 W3Techs 的数据，PHP 目前仍然为全球 70% 多的已知服务端编程语言网站提供支持。这个数据看起来很恐怖，但如果你看趋势图，会发现它从几年前的 80%+ 一直在缓慢下滑。
为什么下滑呢？原因大概在于下面两点。
- 后端多元化：以前做 Web 后端，PHP 是首选（LAMP架构）。现在？Java (Spring Boot)、Go (Gin/Echo)、Node.js、Python (Django/FastAPI) 都在抢饭碗。
- AI 时代的降维打击：Python 是 AI、数据科学、机器学习的绝对霸主。很多新项目（尤其是涉及算法、大模型接口的）直接首选 Python 全家桶，根本不需要 PHP。
说白了，PHP 的使用率确实在下滑，但瘦死的骆驼比马大，不少老网站还要依赖它。目前，还没有多少企业愿意投入去重构老网站，即使是有了 AI 也不行。
竞争力发生了转移
PHP 的竞争力并没有完全消失，而是发生了转移，从“万能胶”变成“专用工具”。
- 它的劣势：在大型微服务架构、高并发处理、AI 集成方面，PHP 确实不如 Go 和 Java 高效，也不如 Python 生态丰富。
- 它的优势：在于开发快！迁移快！部署快！
如果你要做一个企业官网、一个中小型博客、一个快速验证的 MVP（最小可行性产品），PHP + WordPress/Laravel 依然是世界上最快的方案，没有之一。你不需要配置复杂的容器，不需要写繁琐的 ORM，几行代码就能跑起来。
但在 AI 时代，它的位置比 Java 还要尴尬上许多。
PHP 的自救与未来
面对 Python 的围剿和自身的安全问题，PHP 社区和 Java 等语言一样，并没有坐以待毙。
PHP 这几年也做了大的演进。
- 性能飞跃：从 PHP 7 到 PHP 8，引入了 JIT（即时编译），性能提升了数倍，已经不再是那个“慢吞吞”的脚本语言了。
- 类型系统：PHP 8 加强了强类型支持，让代码更健壮，更适合大型工程。
- 现代化框架：Laravel 框架的优雅程度，完全不输 Python 的 Django 或 Java 的 Spring。
但是，安全漏洞（如本次 CVE）依然是悬在头顶的达摩克利斯之剑。只要 PHP 还承载着全球海量的老旧 CMS 系统，这种“一爆漏洞，全站停摆”的戏码就会反复上演。
总结
回到 Halo 社区停服以及多国政府网站关闭这些事上，它给我们敲响了警钟，技术栈的依赖管理至关重要。
对于企业来说，如果是核心业务，建议逐步向 Java、Go 或 Python 迁移，或者至少将 PHP 应用隔离在独立的容器/沙箱中，避免“连坐”。
对于个人开发者来说，如果你想做 AI、数据分析、自动化脚本，毫无疑问选 Python；如果你想做 高并发后端、云原生应用，毫无疑问的选 Java 或 Go，实在不行选 .Net 也行；如果你只是想 快速建个站、接私活、做内容管理，也可以选 Java 的，Java 也有不少开源的内容类 CMS 系统了，不妨多看看。如果你非要选 PHP，好吧，请务必保持更新，及时修补漏洞！
PHP 可能不会死，它可能只是呼吸的不顺畅罢了。
最后，欢迎关注我的个人微信公众号：业余草（yyucao）！可加作者微信号：xttblog2。备注：“1”，添加博主微信拉你进微信群。备注错误不会同意好友申请。再次感谢您的关注！后续有精彩内容会第一时间发给您！原创文章投稿请发送至532009913@qq.com邮箱。商务合作也可添加作者微信进行联系！
本文原文出处：业余草： » PHP 狂爆 CVSS 9.2 分漏洞，Halo 等社区紧急停服