昨晚，一场围绕广泛使用的编程语言PHP的全球性网络安全事件骤然爆发。由于PHP核心被披露存在两个可导致未授权远程代码执行的极危漏洞，欧洲、北美、亚太多个国家和地区的政府网站、公共服务平台及大量商业网站纷纷采取预防性下线措施，以规避潜在的大规模攻击。
此次下线的范围之广，在近年来的单一软件漏洞事件中极为罕见。在欧洲，荷兰成为受影响最深的地区之一：国家网络安全中心自身网站下线，鹿特丹港、政府门户Overheid.nl、五大政党网站以及多家医院网站同时离线。丹麦、法国、芬兰、德国、比利时等国政府机构也采取了类似行动，法国地方省政府网站及巴黎警察局网站在国家网络安全 agency 的要求下暂停访问。
冲击波同样抵达商业与民间领域。日本游戏与娱乐产业大面积中招，SEGA、CAPCOM、万代南梦宫、Cygames、Bushiroad等公司官网及《赛马娘》《影之诗：凌越世界》等服务进入紧急维护状态。4chan、Niconico、DeviantArt、OBS Project以及维基媒体基金会旗下部分系统也相继离线或受限。
此次涉及的两个漏洞编号为CVE-2026-109618与CVE-2026-109619，CVSS v4.0评分均为9.2，属于极危级别。两者性质不同但后果相似：CVE-2026-109618涉及内存耗尽（out-of-memory）处理过程中的内存破坏，CVE-2026-109619则是一种释放后使用（use-after-free）缺陷，源于请求之间残留的内部状态被错误复用。攻击者无需任何身份验证即可利用这些缺陷在服务器上执行任意代码，进而导致Web服务器失陷、页面篡改、敏感数据泄露，甚至以内网节点为跳板进行横向渗透。
W3Techs的数据显示，在可识别编程语言的网站中，PHP驱动了约75% 的站点;仅WordPress一家就支撑着全球约43%的网站。全球政府网站集体下线避险。