這是迄今由AI發現的“最嚴重”安全漏洞。
北京時間10月21日晚，澳大利亞部分政府網站突然不可訪問。在日本，幾款國民級遊戲和大量電商網站同時進入緊急維護。美國國家安全局和歐盟網絡安全機構等全球多家安全主管單位接連發布緊急示警，全球各地掀起預防性網站關停潮。
這些網站之間不共享服務器，共同點只有後臺語言，也就是超文本預處理器（PHP，全稱爲PHP: Hypertext Preprocessor）。PHP是一種開源編程語言，全球約七成的網站依賴其運行，已有二三十年歷史。很快，OpenAI發文稱，在過去兩個月裏，旗下大模型GPT-5.6 Sol輔助發現了兩個PHP關鍵安全漏洞。這兩個漏洞被網絡安全社區統稱爲PHP2Shell。
10月20日，PHP2Shell相關信息泄露，在PHP官方更新發布前，全球網絡攻擊就已開始。目前，尚未有經由PHP2Shell實現遠程代碼執行並成功入侵的案例。21日晚10點，PHP 官方發布了四個新版本。對網站而言，上述漏洞沒有完全有效的防御手段，唯一安全的選擇是更新。漏洞被繞過了，但此次危機對全球網絡安全的考問不止於此。
圖/視覺中國
未戰先亂
PHP多年來被業內戲稱爲“世界上最好的編程語言”，本就多有調侃意味，其長期因設計、性能、安全性等方面短板被詬病。如今，這句話的“含金量”還在上升。
此次“PHP危機”是典型的未戰先亂。10月20日上午，科技社區Hacker News的一個帖子聲稱，PHP安全團隊即將披露兩個嚴重漏洞。該帖信息在被刪除前已在圈內引發了病毒式傳播。美國網絡安全公司watchTowr隨後在數小時內確認漏洞真實存在，並復現了其中一個。這迫使PHP安全團隊將更新發布計劃提前。
亞馬遜公司發布的數據顯示，最早對漏洞的利用嘗試出現在10月17日。攻擊來自匿名網絡，暗示攻擊者可能在保密期內就已獲取了漏洞細節。全球雲平臺服務公司Cloudflare在PHP更新發布當天也報告了早期攻擊的出現。更新發布後，攻擊嘗試呈指數級增長。Cloudflare首席執行官馬修·普林斯近日對媒體稱，在漏洞公開前10小時內，攻擊嘗試次數爲數千次。公開後45分鍾內躍升至數萬次，到10月22日，已達數百萬次。
在某些模式下，攻擊甚至可以在網站自身的業務代碼運行之前觸發。現實中，攻擊者會先發一個請求，讓PHP發生嚴重錯誤，再讓工作進程按其想要的方式進行。這樣一來，攻擊者就有機會控制服務器，或讀到內存裏殘留的其他數據。也就是說，漏洞出在PHP自己身上，網站代碼寫得再規範也攔不住。
PHP2Shell的發現，直接指向了PHP內存管理和錯誤處理方式的長久問題。PHP基金會10月21日發布文章，稱這兩個漏洞之所以棘手，正在於它們處在“幾乎每個請求都會觸及”的核心位置，任何修復方式都要付出代價，要麼破壞向下兼容，要麼引入新的停機風險，要麼要求一大批第三方插件跟着作出改動。
盡管有多位後端工程師表示，漏洞利用起來比預期更復雜，且尚無成功入侵的確認報告，但恐慌情緒仍在短時間內籠罩全球。日本瑞穗銀行、靜岡銀行、三菱集團部分服務、日本航空及東日本鐵路等均暫停了部分在線服務。英國政府也下線了 32個在線服務。
爲此，PHP基金會近日直接提出了二次泄露的指控，指責軟件供應鏈公司Chainguard 在更新發布前超過6小時就發布了某些內容的鏡像，相當於向攻擊者提供了修復工作的細節，降低了其逆向分析漏洞的門檻。Chainguard方面則辯稱，此舉是因爲當時已有活躍攻擊，屬於無奈之舉。
兩天和兩個月
PHP修復的代價，其實早就被看見過。
2024年，PHP接受了多年來第一次外部安全審計。在修復其中一個問題時，PHP基金會的一位核心開發者發現了上述漏洞的最初跡象。當時團隊推演過一種可能的攻擊方式，但沒找到具體路徑，修復方案在幾種思路之間來回拉鋸。PHP 基金會近日承認，這是一次“結構性失敗”，原因是安全團隊的決策流程不完善和人手不足。
轉機出現在今年。7月30日，美國網絡安全公司Calif在OpenAI的“修補地球”計劃下開始審計PHP。該計劃於今年6月發布，旨在應對AI漏洞挖掘衝擊，維護網絡安全。僅兩天後，他們找到了第一個觸發上述漏洞之一的入口。8月11日，Calif研究員賴恩·奧斯汀把完整的攻擊鏈條報給了PHP項目組。同一天，OpenAI也獨立報上了同樣的擔憂。此後，OpenAI又陸續報出更多攻擊路徑。
PHP核心開發者找了很久都沒找到的攻擊路徑，另一羣人在AI輔助下只用了兩天，修復漏洞則用了兩個月。
“這不只是某個建站系統的漏洞。”10月21日，雲安全公司Sysdig創始人洛裏斯·德焦瓦尼對媒體稱，每一個PHP應用都暴露在威脅之中，包括那些公司自己在資產清單上都沒有記錄的供應商門戶、管理後臺和被遺忘的營銷網站。這指向一個更普遍的問題。除了網站，PHP也大量嵌在工業網關、樓宇管理系統、家用路由器、網絡存儲設備裏，這些地方的更新周期常以年計。10月21日，安全媒體Help Net Security在報道中引用網絡安全研究者的判斷稱，有太多被遺忘、沒人維護的應用永遠不會被打補丁，這次危機會“拖出一條很長的尾巴”。
這句話引出了一個更深的議題：當AI讓發現漏洞變得廉價，誰來承擔修復漏洞的成本？PHP基金會在前述文章的末尾幾乎是在求助，希望使用PHP的公司、主機商、雲平臺和政府給予贊助。業內共識是，現在找漏洞的人太多，而修漏洞的人太少。
OpenAI在10月21日的公告裏提出了“防御者窗口”的說法。AI在攻擊者之前發現漏洞，爲維護者和安全廠商爭取到準備時間。但OpenAI同時承認，這個窗口是有條件的。只有當防御方手裏的模型能力，明顯領先於攻擊者普遍能拿到的能力時，窗口才存在。因此，AI發現重大漏洞的案例，未來幾個月可能還會急劇增加。
PHP危機如何影響普通人？10月22日，奧斯汀作爲最早發現漏洞的人之一對媒體稱，在別人的網站上利用這個漏洞，本質上就像是進了前門。“現在他們能進入房子的其餘部分，可以在網絡內部自由遊走，還可以實施勒索軟件攻擊。”雖然PHP 跑在服務器上，不在個人設備裏，但多位專家提醒，個人信息是否受波及要看長遠影響。如果收到數據泄露短信等，應及時修改個人密碼。
截至發稿，部分預防性下線的網站恢復了訪問，但全球仍有大量網站服務處於中斷或待修復狀態。此外，還有數千萬的PHP系統，跑在十年沒人碰過的小網站和舊設備裏。今年底，早期版本PHP 8.2將停止安全維護，屆時又會多出一批“難修”的機器。
記者：周遊
（nolan.y.zhou@gmail.com）
相關閱讀
- 日本政府開出標準，大阪等四地爭當“副首都”2026-10-28
- 4000歲的它，見過魯隱公、劉勰、郭沫若……也見過我2026-10-28
- 陪診國標將實施 限定服務提供者為機構2026-10-28
- 俄烏在赫爾松地區區域性停火 但其他多地戰火未停2026-10-28
- 一個狂野的冬天正在醞釀。以下是氣象學家想讓您知道的內容。2026-10-28
