---
id: "mb-20261027-e90232"
kind: "deep"
title: "一个PHP致命漏洞，为什么能逼得赛马娘和任天堂集体拔线停服？"
description: "突发的PHP2Shell远程代码执行漏洞让大批知名游戏与服务紧急停服维护。本文拆解现代游戏看似现代化的表象下，底层API为何仍深度依赖PHP架构，以及当CVSS 9.2级RCE漏洞公开后，运维团队为何只能选择全网紧急拔线。"
domain: "software"
domain_label: "软件与工程"
canonical_url: "https://mubeitech.com/deep/mb-20261027-e90232"
markdown_url: "https://mubeitech.com/deep/mb-20261027-e90232/markdown"
json_url: "https://mubeitech.com/api/interpretations/mb-20261027-e90232"
topic: "一个PHP致命漏洞，为什么能逼得赛马娘和任天堂集体拔线停服？"
source_type: "generated"
status: "published"
generated_at: "2026-10-27 09:41:03"
frame_type: ["机制"]
legal_anchor_count: 0
transcript_citation_count: 0
---

# 一个PHP致命漏洞，为什么能逼得赛马娘和任天堂集体拔线停服？

一个PHP漏洞，把半个二次元游戏圈逼到集体拔线。

赛马娘、碧蓝幻想、影之诗、公主连结、绯染天空。
任天堂部分在线服务、万代南梦宫、宝可梦。
再加上 4chan、DeviantArt 和各大游戏百科 Wiki。
几乎在同一时间，全部挂出维护公告，或者直接转成只读。

很多人的第一反应肯定是：
都 2026 年了，怎么还有这么多主流大作在跑 PHP？
PHP 不是三十年前拿来写个人主页的吗？

走，我们去看一眼游戏服务端的底牌。

很多人以为，现在的顶流游戏，后端肯定清一色是 Go、Rust 或者微服务。
但像 Cygames、任天堂和万代南梦宫这些开发商，底层大量核心业务依然跑在 PHP 上。

拿 Cygames 来说。
对战和实时渲染可能用 C++ 引擎，但玩家的日常交互：
账号登录、抽卡验证、商城买体力、读公告、结算奖励。
本质上全是一次次轻量的 HTTP 请求。
这类接口开发快、扩容简单、几十年来运转稳定，平时根本没有推倒重写的理由。

至于各大游戏 Wiki，底层跑的 MediaWiki 本身就是 PHP 写的。
老牌论坛 4chan 和各种社区，根底里也是一套套成熟的 PHP 架构。

平时谁也瞧不上它，但大半个互联网的日常业务偏偏就长在它上面。
直到这个叫“PHP2Shell”的漏洞被公开。

严重程度直接给到了 9.2 分。
它是一个远程代码执行漏洞，也就是大家常说的 RCE。

这意味着什么？
攻击者不需要账号密码。
只要往服务器的 PHP 接口发一段特定的恶意请求，就能直接拿到系统的 Shell 权限。
服务器控制权直接拱手相让。
后台的玩家数据库、未公开的卡池数据、交易流水，全在别人眼皮底下裸奔。

更要命的是，攻击代码已经流传到了网上。
自动化扫描工具正在成批地扫端口，寻找没打补丁的靶子。

这时候留给运维的选择只有一个：
拔掉网线，停机维护。
多犹豫一分钟，服务器可能就被别人打包拖走。

平时大家看游戏，看到的是精致的 3D 建模、酷炫的粒子特效和动听的配乐。
但真正托住这一切的，往往就是地基里几块跑了十几年的老砖头。
老技术很老，但只要它动一下，上面的整栋大楼照样得跟着晃。

_Canonical: <https://mubeitech.com/deep/mb-20261027-e90232> · Source: 墓碑科技 MUBEITECH (mubeitech.com)_
_Rendered by mubei-terminal._