2026 年 10 月 22 日
来源：Phys.org / 美联社
由于在广泛使用的编程语言 PHP 中发现严重安全漏洞，全球政府与企业正连夜部署紧急安全更新。该漏洞可能影响全球约 70% 的网站。
尽管许多政府网站在周四看似正常运行，但在安全修复工作持续进行期间，部分服务仍出现停机或功能受限的情况。美国联邦调查局（FBI）网络部门周三发出警告称，该漏洞允许恶意行为者远程执行代码，增加了敏感数据泄露和网络被入侵的风险。FBI 建议运营商若无法立即更新，应采取临时暂停网站等措施以降低风险。
各国政府网站采取应对措施
英国总理办公室表示，在处理潜在网络安全问题期间，一些“有限”的政府服务可能暂时关闭。一位女发言人周四指出，政府正在识别和修复系统漏洞，并与 OpenAI 及国际合作伙伴密切合作。她强调，此次行动不会影响大型面向公众的关键服务，但部分非核心服务可能会短暂中断。
芬兰政府网站通报称，相关问题已得到解决，但“部分内容仍缺失，目前正在恢复中”。在日本，大阪府网站因系统故障导致机器翻译服务不可用。日本首相高市早苗（Sanae Takaichi）通过社交媒体分享政府警告，敦促网站管理员检查是否使用 PHP，并立即安装周三晚些时候发布的补丁。
高市早苗表示：“如果难以及时应用修复补丁，暂时暂停网站是降低风险的有效方法。”日本政府未收到因 PHP 漏洞遭受网络攻击造成损害的报告，部分政府网站的暂时关闭仅是为了预防安全风险。
AI 发现关键漏洞，OpenAI 称其影响深远
伦敦皇家联合服务研究所网络和技术主任詹姆斯·沙利文（James Sullivan）指出，这两个由人工智能发现的关键漏洞可让恶意行为者获得未经认证的访问权限，理论上无需密码即可远程控制网络服务器。黑客可能借此窃取、篡改数据，或将受感染系统作为发动其他攻击的平台。
OpenAI 在一篇博客文章中透露，其 AI 代理在过去两个月内协助发现了这些漏洞。OpenAI 将其描述为“近期最具影响力的安全问题之一”，并指出 AI 似乎在攻击者利用之前发现了该缺陷。
根据 PHP 基金会的说法，此类漏洞至少早在 2024 年就已存在。基金会承认，延迟修复是由于安全团队决策过程结构性故障及资源不足所致。沙利文认为，在问题解决前关闭受影响网站是良好的网络安全风险管理实践。
全面修复需数周至数月
网络安全专家范德沃尔特（Vandewalt）形容这一事件的潜在影响范围巨大，目前所见仅是“早期的震动”，未来几周乃至几个月内后果将进一步显现。PHP 对于众多网站和 Web 应用程序的运行至关重要，因此修复工作不仅涉及软件开发人员修补错误，还需要所有部署环境逐一排查。
范德沃尔特指出，企业需要识别运行中的系统、确定所有者，并对修补时机和能力进行风险评估。虽然接下来几周将是解决问题的紧张期，但要彻底清除所有滞后的未修补系统，可能需要“几个月甚至几年”的时间。
AI 双刃剑：加速攻防博弈
沙利文分析称，这一事件具有双重影响：一方面，AI 可以帮助防御者更快发现漏洞；另一方面，它也可能帮助攻击者识别新的弱点。其中一个漏洞破坏系统内存，导致数据丢失；另一个则允许用户数据未被删除而保留在系统中，使恶意行为者能够下载或擦除这些数据。
部分网站可能因软件类型不同而拥有多个补丁，导致完全恢复运行的时间延长。范德沃尔特强调，尽管 AI 有助于补救漏洞，但修复过程仍需经过严格测试和批准。他提到，在一个假设场景中，物理设备中的软件也可能受到影响，解决问题并不总是像发现问题那样简单。
“目前，我们认为攻击者从 AI 中获得的优势肯定超过了防御者。”范德沃尔特说。
周三晚些时候，PHP 基金会已发布针对该漏洞的修复程序。欧盟网络安全机构 ENISA 建议各组织“立即采取行动”解决这些漏洞。沙利文呼吁不要过度恐慌，指出个人和企业可以通过识别受损系统、安装软件更新和补丁等基本步骤来保护自己免受大多数威胁。
