与他人分享：
什么是 PHP？为什么它为许多网站提供支持？
我只希望网站能正常运行。但互联网的背后却隐藏着一种三十多年前的编程语言——PHP。
我们最近都了解到了如果他们在……会发生什么。 检测到 PHP 漏洞全世界都炸开了锅，这完全可以理解。PHP 中的两个严重漏洞可能允许攻击者在未经授权的情况下在远程服务器上执行恶意代码。开发人员已立即采取行动，但或许现在是时候谈谈 PHP 是什么，为什么这样一项古老的技术仍然占据主导地位，以及一种编程语言中的一个漏洞如何能够危及整个互联网了。
PHP是什么？它的名字是什么意思？
PHP 是一种主要用于创建网站和 Web 应用程序的编程语言。它的名称是 PHP Hypertext Preprocessor（PHP 超文本预处理器）的缩写，最初意为“个人主页”。仅从这一点就可以看出，这种语言的诞生源于一个纯粹的实用需求：让网站不仅仅是静态的文本，而是更加生动活泼的内容。
该语言起源于1994年，当时丹麦裔加拿大程序员拉斯穆斯·勒多夫开发了一些简单的工具来监控他个人网站的访问量。这些工具逐渐演变成一种编程语言，并成为万维网的关键组成部分之一。
PHP 是一种脚本语言。这意味着代码不会预先编译成独立的程序，而是由一个名为解释器的特殊服务在每次请求时读取并执行。这为程序员省去了许多使用更复杂语言时需要做的工作，使得 PHP 对初学者非常友好。它也是开源的，这意味着它的源代码是公开的，任何人都可以免费使用和改进这门语言。
据该研究公司称 W3Techs 截至 2026 年 10 月 21 日，在约 69.3 % 个可以识别服务器端编程语言的网站中，PHP 被使用。这并不代表整个互联网的 69.3 % 个网站，但这清楚地表明了 PHP 的普及程度。
PHP的工作原理是什么？
关键在于“服务器端”。当我在浏览器中打开一个网页时，浏览器会向服务器（即存储网页并将其提供给访问者的计算机）发送请求。如果网页是用 PHP 编写的，服务器首先会将代码传递给解释器。解释器执行代码，并在必要时从数据库读取数据，将最终页面编译成 HTML，然后将其发送回浏览器。HTML 是所有网页的编写语言，浏览器可以将其显示为文本、图像和按钮。CSS 决定网页的外观，而 JavaScript 则实现交互功能，例如响应点击事件、打开菜单和更新内容。
因此，访问者看不到 PHP 代码本身，只能看到结果。从安全角度来看，这一点也至关重要，因为代码通常包含访问数据库所需的数据。如果攻击者获取了代码，他们也就获取了这些数据。
我们将 PHP 代码插入到普通网页的 <code> 标签之间。它们内部的所有内容都由解释器执行，其他一切都保持不变。正是这种简洁性是该语言在 20 世纪 90 年代迅速发展的主要原因之一。
我们经常听到LAMP这个缩写。它代表Linux操作系统、Apache Web服务器、MySQL数据库和PHP语言的经典组合。这是一套免费工具，几十年来一直为互联网的很大一部分提供支持，至今仍在许多地方发挥着作用。
PHP 不仅仅是一种用于创建简单网站的语言。
尽管 PHP 起源于网络远比现在简单的时代，但如今它的功能早已远远超出最初的用途。它可用于开发在线商店、商业应用程序、用户门户、预订系统以及用于在不同服务之间交换数据的编程接口。
现代 PHP 支持面向对象编程。程序员可以将编程逻辑划分为类和对象，分别代表应用程序的各个组件。它还支持数据类型、异常处理以及许多其他机制，使代码更加结构化和可预测。
程序员不必从零开始开发所有功能。像 Laravel 和 Symfony 这样的框架可以简化复杂应用程序的开发。依赖管理工具 Composer 也发挥着重要作用。它允许开发者引入现成的库并控制其版本。
如果没有数据库，它的实用性将大大降低。
PHP 的主要任务之一是将 Web 应用程序连接到数据库。当我登录在线商店时，系统需要验证我的用户帐户。当我下单时，系统需要存储所选商品、收货地址和订单信息。PHP 可以与 MySQL、MariaDB、PostgreSQL 和 SQLite 等数据库系统协同工作来实现这些功能。
除其他数据库外，还可以使用 PDO 等数据库进行访问。 PHP 数据对象它是一种允许与不同数据系统交互的编程接口。因此，开发人员在使用时必须特别注意安全性。
如果应用程序无意中将用户输入插入到数据库命令中，则可能发生称为 SQL 注入的漏洞。SQL 是一种用于操作关系数据库的标准化语言。攻击者可以利用这种漏洞在未经授权的情况下读取或修改数据。
建议的保护措施是使用预处理查询，将用户数据与命令本身分开处理。
为什么 PHP 与 WordPress 的联系如此紧密？
WordPress 是其普及程度的最佳例证，它是网络上使用最广泛的内容管理系统之一。WordPress 基于 PHP 和数据库。当编辑发布文章时，文章内容会被存储在数据库中。然后，PHP 负责检索内容、检查用户权限并准备访客看到的页面。
同样，Drupal 和 Joomla 也基于 PHP，WooCommerce 在线商店和维基百科的 MediaWiki 软件也基于 PHP。PHP 还支持扩展程序、用户帐户、表单、在线商店和许多编辑功能。然而，区分 PHP 本身的漏洞、WordPress 的漏洞和单个插件的问题至关重要。
例如，更新 WordPress 并不一定意味着服务器上的 PHP 也随之更新。它们是不同的软件层，需要分别维护。这种区别常常被忽略，尤其是一些对服务器管理要求不高的用户，他们将服务器管理完全交给主机提供商。
最新的严重漏洞揭示了什么？
编号为 CVE-2026-109618 和 CVE-2026-109619 的安全警报尤为严重，因为它们涉及 PHP 的内部机制。CVE 是国际通用的、用于标识公开已知安全漏洞的标准编号。这两个漏洞的 CVSS 评分均为 9.2 分，CVSS 评分系统以 10 分制来衡量安全漏洞的严重程度。
第一个漏洞与请求处理过程中可用内存耗尽时内存处理不当有关。第二个漏洞是由于在先前请求的内存已被释放后，仍然使用与其关联的内部数据造成的。在某些情况下，攻击者可以利用此类漏洞在无需登录应用程序的情况下执行远程代码。
对于 PHP，他们特别警告不要使用 mod_php，因为已有证据表明，该模块存在漏洞，可以在 Web 应用程序代码执行之前触发攻击。这意味着，即使是编写规范的网站，如果使用了存在漏洞的 PHP 版本，也未必能得到有效保护。
PHP会因为漏洞而失去其主导地位吗？
PHP既非万能工具，也非过时的古董。它是一种成熟、快速且应用广泛的语言，凭借其简洁性，为许多人打开了Web编程的大门。然而，正是这种广泛应用也成了它的致命弱点，任何严重的错误都可能危及网络的很大一部分。因此，对于管理自己网站或网店的读者来说，最重要的信息很简单：定期更新，不要等到第一次攻击发生才采取行动。
