全球互联网的用户和从业者，早就习惯了把 PHP（网站后端最常用的开源脚本语言）当成水、电、煤一样的基础存在——没人天天去确认它是否安全，也没人为它单独签一份保障协议。可就在 2026 年 10 月下旬，两个收录在公共漏洞与暴露库（CVE，全球通用漏洞编号系统）里的 PHP 核心层远程代码执行漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，按通用漏洞评分系统（CVSS，用来给安全漏洞严重程度打分的国际标准）v4.0 打到了 9.2 分，直接让这个“默认存在”的地基晃了一下。从公开信息看，最先做出强反应的，不是哪家商业公司，而是开源内容管理系统 Drupal（一款用 PHP 语言搭建网站的老牌工具箱）。Drupal Association 临时首席执行官公开表示，在完成更新部署期间，Drupal 将关闭所有直接管理的网站。
这听起来有点反常识。Drupal 本身是建站工具，大量网站靠它运营，结果它表示将先把自己直接管理的网站一并关掉。国家网络安全通报中心随后给出预警，漏洞位于 PHP 核心层，影响 WordPress（全球使用量最大的...