PHP-ocalypse：两个关键漏洞几乎导致互联网瘫痪
本周三，一项运行了数十年的开源网络技术 PHP 险些引发全球互联网的大规模中断。这一事件被业界称为“PHP-ocalypse”（PHP 末日）。
此次危机源于两个名为 PHP2Shell 的关键安全漏洞，官方编号为 CVE-2026-109618 和 CVE-2026-109619。这些漏洞允许攻击者在无需任何凭证的情况下远程入侵运行 PHP 的在线系统。为了在恶意黑客大规模利用之前修补系统，全球数百万用户被迫紧急行动。
PHP 基金会于周三公开发布了补丁。此前，该基金会已通过数周的保密协调，向依赖 PHP 的大型互联网公司及网络主机提供了早期修复方案。随着政府敦促公民和企业降低风险，大量行业选择暂时关闭网站或服务以进行系统更新，受影响范围涵盖银行、零售商、游戏平台、电商、医院及部分政府机构。
尽管目前局势趋于稳定，但安全研究人员警告称，仍有大量系统尚未完成修复。此外，人工智能技术的发展可能加速发现更多潜在漏洞，互联网软件面临的威胁并未完全解除。
漏洞发现与披露过程
这两个漏洞由美国加利福尼亚州的安全研究人员发现。PHP 作为免费且广泛使用的 Web 编程语言，支撑着当今互联网的底层架构。
漏洞最初于 2024 年被识别，但当时被认为不可利用且未获修复。近期，研究人员发现了具体的利用方法，随即通知软件制造商。PHP 基金会启动修复程序，并在严格保密的禁运期内协调披露工作，向相关方提供补丁信息。
为何危害如此严重？
PHP2Shell 漏洞属于“远程代码执行”（RCE）类型，这是最具破坏性的漏洞类别之一。其危险性在于：
- 无需用户交互：受害者无需点击链接或打开文件即可遭受攻击。
- 无凭证要求：攻击者无需密码或其他认证信息即可植入恶意软件，窃取数据或在系统中建立长期立足点。
- 完全控制权：黑客可对全球范围内未修补的系统实施有效完全控制。
70% 的网络为何受波及？
约 70% 面向网页的互联网基础设施依赖 PHP 运行。尽管近年来部分流量转向更安全的新语言，但 PHP 仍占据主导地位。知名平台如 WordPress（TechCrunch 亦基于此）、Drupal、Joomla 以及维基百科背后的 MediaWiki 均深受影响。
PHP 是众多老旧但功能核心的技术之一，主要由无偿维护的开源社区支持。由于缺乏第三方安全审查及经济投入，这类基础软件往往成为大型公司广泛使用却疏于防护的对象。
AI 在漏洞挖掘中的角色
今年早些时候，研究人员在对 PHP 代码进行安全审计时发现了这些漏洞。卡利夫（Calif）参与了 OpenAI 和云安全公司 Wiz 联合推出的“Hack the Planet”计划，Wiz 验证了其概念验证漏洞。
卡利夫指出，虽然 AI 模型辅助了漏洞利用的开发，但核心工作仍依赖于研究人员对 PHP 代码库及历史利用方式的深厚知识。目前，尚无模型能仅凭简单提示自动挖掘所有错误。
补丁发布前的泄露疑云
尽管细节保密，但在周三补丁正式公开前，已有 PHP2Shell 漏洞被利用的迹象。亚马逊在其博客中透露，早在补丁上市一周前就检测到了针对该漏洞的网络活动，具体来源尚不清楚。
可能的原因包括：
- 开源特性：PHP 代码公开可查，一旦修复细节泄露，攻击者可逆向推导攻击路径。
- 禁运期泄露：开源社区庞大，信息控制依赖各方善意，可能存在通信故障或内部泄露。
- 独立发现：黑客可能通过间谍活动或独立研究提前掌握了漏洞。
Palo Alto Networks 和 Trail of Bits 的研究表明，将漏洞武器化需要大量工作，这解释了为何攻击活动在特定时间点集中爆发。
恢复情况与未来展望
Cloudflare 首席执行官马修·普林斯（Matthew Prince）表示，目前未发现大规模剥削迹象，这是一个积极信号。然而，PHP 不仅用于 Web 服务器，还嵌入在开发者工具、路由器、存储设备及企业防火墙等组件中。小型 IT 团队和个人开发者的更新速度较慢，预计 PHP2Shell 的攻击面将在未来一段时间内持续存在。
回顾历史，类似的大规模互联网中断事件并不罕见：2016 年 Dyn 遭受僵尸网络 DDoS 攻击，2017 年 WannaCry 勒索病毒席卷英国 NHS，2024 年 CrowdStrike 更新失误引发全球宕机。PHP2Shell 事件让互联网侥幸躲过一劫，但这可能是旧技术缺陷引发连锁反应趋势的开始。
美国国家安全局数据显示，约 75% 的漏洞与内存不安全有关。PHP 等老旧语言因缺乏内存安全性而脆弱，这也推动了 Python、Rust 和 Swift 等内存安全语言的普及。只要像 PHP、媒体编解码器和压缩库这样的基础性软件继续存在，其潜在破裂风险就将持续伴随互联网的发展。
