很多老板对网络安全的认知还停留在“装个防火墙就完事”，但这次工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB，相当于国家级的漏洞情报中心）在2026年10月22日发布的风险提示，直接把一个更残酷的现实甩到台面上：你网站后台跑着的PHP（一种广泛用于网站开发的开源服务器端脚本语言）可能在过去十几年里一直留着一道连门锁都没装的后门，而且这道门在默认配置下就能被陌生人推开。
这次NVDB点名的是PHP两个超危远程代码执行漏洞，行业编号CVE-2026-109618和CVE-2026-109619，评分都高达9.2分。通俗讲，攻击者不需要偷到账号密码，只要能访问到服务器上跑着受影响版本PHP的网页，就能直接在机器上执行任意代码，把服务器变成自己的提款机。受影响的版本覆盖了从8.1到8.5的大多数主流分支。更麻烦的是，据汇通财经报道，韩国总统办公室的国家安保室已经就这件事召开了紧急网络安全会议，韩国政府同步提高了网络安全警报级别，香港监管机构也跟着上调了警报。一个开源脚本语言的补丁问题，在48小时内演变成了东北亚多个监管主体的同步响应策略...