2026 年 10 月 22 日
近期，PHP 语言中被发现存在两个关键安全漏洞，这一事件被专家视为近年来最引人注目的网络安全危机之一。由于 PHP 是全球绝大多数网站背后的通用脚本语言，此次漏洞的影响范围极广。
无需密码即可远程操控服务器
PHP 基金会与联邦调查局网络部门周三联合发出警告，要求用户立即修复这两个关键漏洞，或在无法立即更新的情况下暂时关闭网站。
伦敦皇家联合服务研究所网络和技术主任詹姆斯·沙利文指出，这些漏洞允许攻击者在不需要密码的情况下远程控制网络服务器。黑客可能利用此弱点窃取或篡改数据，甚至将受感染的系统作为发动其他网络攻击的平台。
广泛暴露导致部分政府服务中断
鉴于 PHP 免费且开源的特性，其在互联网上的普及率极高。WordPress 和 Drupal 等主流内容管理系统均基于 PHP 构建，而这些系统常被各国政府用于搭建官方网站。因此，潜在受影响面巨大。
根据本周发布的安全建议，部分网站已选择下线以规避风险。英国、芬兰和日本等地的部分政府服务和网站已出现中断现象。
目前，仍有部分网站处于不可用状态。这主要是因为不同软件版本对应的补丁存在差异，一些组织仍在等待接收补丁，并需进行内部测试以确保修复方案的有效性。
漏洞休眠期长达数年，修复进程曾停滞
PHP 基金会披露，这些漏洞至少从 2024 年起就已为人所知。当时，安全团队开发了几个相互竞争的解决方案，但因存在缺陷且缺乏实际可行的攻击路径，修复工作陷入停滞。
基金会承认：“我们不会假装其他情况：延迟是结构性失败，由安全团队的决策过程和缺乏资源造成的。”另有专家表示，漏洞的发现时间可能早于 2024 年。
AI 加速攻防博弈
值得注意的是，人工智能技术在本次漏洞的发现过程中发挥了关键作用。OpenAI 在一篇博客文章中表示，其 AI 代理帮助识别了这些漏洞。云安全平台 Wiz 的研究人员也证实，他们独立使用人工智能工具发现了该安全问题。
人工智能的可访问性使得各规模的组织能够采用更先进的手段主动应对安全威胁，但同时也赋予了不良行为者利用数字弱点的更强能力。
沙利文对此表示担忧，认为这种推拉效应令人不安。他评论道：“我们实际上已经看到一个相当不错的用例，人工智能可以发现一些关键的漏洞。”
