问题所在 2026 年 10 月 21 日，PHP 为两个严重漏洞（CVE-2026-109618 和 CVE-2026-109619）发布了紧急补丁——攻击者无需登录即可在服务器上执行代码。已知服务端语言的网站中约 70% 由 PHP 驱动。各国政府、银行、广播公司和平台纷纷下线网站以防万一。
如果你运营网站、维护客户站点、管理服务器，或依赖使用 PHP 的供应商，你现在一定在问：我受影响吗？我的技术栈具体要改什么？如何证明修好了？如果我不跑 PHP 呢？建议散落在数十篇博客、厂商通知和新闻里，而且大多是写给专家的。走错一步——比如只更新插件就停手——会让你暴露在风险中。
解决方案 《PHP2Shell 防御手册》是一份完整、分步的指南，装在一个干净的 Notion 工作区里。它用平实英语解释这个漏洞、展示 AI 如何发现它，并按 PHP 版本、操作系统、Web 服务器、框架、CMS 和托管类型给出确切修复方案，外加一套完整的 AI 驱动审计方法。每页都写到非技术业主能看懂、工程师能直接复制粘贴。
它有多简单方便
15 分钟起步："从这里开始"分诊页带你走过 7 个计时步骤，从"我跑 PHP 吗？"到"已打补丁并验证"。
先讲人话：每页开头都有一个"通俗解释"框，然后才是技术细节。
快速找到你的路径：决策表直接把你送到与你配置对应的修复方案。
即贴即用：命令、配置片段、检查清单和邮件模板，拿来就能用。
随时可读：在任何设备的浏览器中阅读，无需下载、无需安装软件。
对来源诚实：事实标注为"已确认"、"据报道"或"分析"，附完整来源清单。
你将获得（10 个部分、150+ 页） 从这里开始：15 分钟紧急分诊、即贴即用紧急命令、消息模板，以及按角色划分的"如何使用本书"指南。
第 1 章 漏洞是什么：用日常类比解释漏洞、四个底层缺陷、谁受影响、时间线、误区与事实，以及自测小测。
第 2 章 AI 如何发现它：为什么细心的人类十多年都没发现、AI 辅助团队如何发现并证实它，以及给防御者的教训。
第 3 章 其他编程语言：漏洞家族、逐语言风险图谱、诚实的概率评估，以及非 PHP 技术栈该检查什么。
第 4 章 宕机登记册：100 条编号记录，含名称、域名和一行详情：每条报告的宕机和预防性关停都带置信度分级，外加知名 PHP 平台图谱（明确标注为暴露面，非宕机）。
第 5 章 修复总指南：按 PHP 版本、操作系统与控制面板、Web 服务器、框架、CMS 和托管类型给出的确切修复、紧急缓解措施，以及补丁后验证与入侵排查。
第 6 章 如果你不跑 PHP：如何发现隐藏的 PHP、检查供应商和设备，并加固其他技术栈抵御同类漏洞。
第 7 章 用 AI 审计：用 Claude、Claude Code、ChatGPT 与 Codex、Gemini、Perplexity 和 Copilot 的 9 步审计法、25 个提示词库和报告模板。
第 8 章 专业技巧与内部手册：补丁运维、加固、监控配方、事件响应、代理手册、25 个常见错误、30 问 FAQ 和 30/60/90 天路线图。
附录：一页速查表、检查清单、配置片段、按 OS 分类的命令、50 术语词汇表、模板、来源和免责声明。
完整目录
从这里开始：15 分钟紧急分诊\n即贴即用紧急命令
消息模板：告诉你的主机商、老板和客户什么
如何使用本书
第 1 章：什么是 PHP2Shell 漏洞？（通俗版）\n1.1 60 秒速览
1.2 通俗讲 PHP
1.3 内存、崩溃与"释放后使用"
1.4 CVE-2026-109618 详解
1.5 CVE-2026-109619 详解
1.6 从漏洞到"Shell"
1.7 谁受影响？
1.8 时间线
1.9 误区与事实
1.10 自测小测
第 2 章：AI 如何发现它，以及人类为何漏看十多年\n2.1 人类为何漏看
2.2 AI 搜寻如何一步步展开
2.3 AI 与人类：各自做了什么
2.4 竞赛：泄露、蜜罐与利用尝试
2.5 什么变了：AI 转折点
2.6 给防御者的教训
第 3 章：其他编程语言会中招吗？\n3.1 漏洞家族
3.2 逐语言风险图谱（C/C++、Python/Ruby/Perl/Lua、Node.js、Java/JVM、Go、Rust 与 Swift、.NET、逻辑版）
3.3 可能性有多大？诚实的概率评估
3.4 非 PHP 技术栈该怎么做
3.5 预测：未来 24 个月
第 4 章：已验证宕机登记册：谁下线了\n4.1 如何阅读本登记册
4.2 欧洲：政府、公共机构与大学
4.3 亚太与北美
4.4 企业、交通与金融
4.5 媒体、平台、社区与非营利组织
4.6 游戏与在线服务
4.7 暴露面图谱（4.7a CMS、电商与托管工具；4.7b 框架、应用与工具）
4.8 宕机浪潮教会你什么
第 5 章：修复总指南\n5.1 按 PHP 版本修复（8.5/8.4/8.3/8.2；8.1/8.0/7.4 回移植；7.x 和 5.x；选择目标版本；已知补丁后问题）
5.2 按操作系统、容器与控制面板修复（Ubuntu 和 Debian；RHEL、AlmaLinux、Rocky 与 Remi；Alpine；Docker、Compose 与 Kubernetes；cPanel、CloudLinux、Plesk、DirectAdmin；Windows 和 macOS；源码编译）
5.3 按 Web 服务器修复（Apache + mod_php；Apache + PHP-FPM；Nginx；LiteSpeed；IIS；Caddy 与 FrankenPHP；CDN/WAF 层）
5.4 按 PHP 框架修复（一条铁律；Laravel；Symfony；CodeIgniter、CakePHP、Yii、Slim、Laminas；Swoole、RoadRunner、Phalcon；检查清单）
5.5 按 PHP CMS 与应用修复（WordPress 和 WooCommerce；Drupal；Joomla；Magento、PrestaShop、OpenCart、Shopware；TYPO3、Craft、Concrete CMS、October、Grav；MediaWiki、Moodle、phpBB、MyBB、Flarum；Nextcloud、Roundcube、phpMyAdmin、WHMCS、Matomo；兼容性检查）
5.6 按托管类型修复（共享；托管 WordPress；VPS 与独服；云 IaaS 与 PaaS；容器与 Kubernetes；Serverless 与边缘；"问你的主机商"邮件模板）
5.7 今天打不了补丁时的紧急缓解（12 项临时设置；边缘的 multipart 限制；资源限制；何时下线；不该做什么；回滚）
5.8 补丁之后：验证、重启、轮换、排查（证明已打补丁；重启矩阵；轮换密钥；排查入侵；最初 60 分钟；记录与报告）
第 6 章：如果你不跑 PHP：仍要检查什么\n6.1 找到你不知道自己有的 PHP
6.2 你的供应商与 SaaS 依赖
6.3 设备与捆绑的 PHP
6.4 同一漏洞类，其他技术栈
6.5 边缘与网络控制
6.6 密钥与爆炸半径
6.7 监控、日志与告警
6.8 事件准备
6.9 30 分钟无 PHP 检查清单
6.10 问任何供应商的二十个问题
第 7 章：用 AI 一步步审计你的网站\n7.1 基本规则：安全审计
7.2 9 步审计法
7.3 用 Claude 审计：聊天与项目
7.4 用 Claude Code 审计
7.5 用 ChatGPT 与 OpenAI Codex 审计
7.6 用 Google Gemini 审计
7.7 用 Perplexity 研究与核实
7.8 用 Microsoft Copilot 与 GitHub Copilot 审计
7.9 AI 加扫描器：制胜组合
7.10 提示词库：25 个即贴即用提示词
7.11 用多个模型交叉验证 AI
7.12 审计报告模板
7.13 小案例：审计 WordPress + Nginx + PHP-FPM 站点
第 8 章：专业技巧与内部手册\n8.1 补丁运维手册
8.2 php.ini 与 FPM 加固参考
8.3 容器、CI/CD 与镜像卫生
8.4 监控与检测配方
8.5 "不再重演"架构
8.6 事件响应：最初 60 分钟
8.7 自由职业者与代理商手册
8.8 人们常犯的 25 个错误
8.9 内部笔记：新闻稿没告诉你的事
8.10 FAQ：30 个问题的答案
8.11 30/60/90 天加固路线图
附录\nA. 一页速查表
B. 检查清单
C. 配置片段参考
D. 按 OS 分类的命令速查表
E. 词汇表：50 个通俗术语
F. 模板
G. 来源与延伸阅读
H. 免责声明与如何让本书保持更新
适合谁
需要知道今天该做什么的网站所有者和创始人
保护客户站点的自由职业者与代理商
需要确切命令的系统管理员、DevOps 工程师和开发者
"不跑 PHP"但依赖供应商、设备或隐藏 PHP 的团队
须知 事实截至 2026 年 10 月 23 日，来自书中列出的公开来源；厂商状态变化很快，请查看 php.net 和你的厂商。公开报道并未点名 100 个关停网站，因此第 4 章对每条记录诚实标注（报告宕机 vs 暴露图谱）。这是一份教育指南，不含利用代码，也不是法律或专业安全建议。访问以你购买内容内的 Notion 链接形式交付。
Join Us On: Facebook WhatsApp Medium YouTube TikTok Bluesky X Thread Instagram