AI挖出PHP重大漏洞引发攻击潮，英国紧急追加AI安全拨款

AI辅助审计近期暴露了PHP语言中的两个严重安全漏洞，导致全球多家政府机构和企业紧急将网站下线。PHP支撑着全球约70%的网站运行，攻击者在漏洞曝光后迅速展开利用。《华尔街日报》报道称，犯罪团伙正利用下一代AI黑客工具发起攻击，这一事件被称为“黑色十月”。安全监测显示，漏洞公开后24小时内便记录到了数百万次利用尝试。

法新社：AI暴露关键安全漏洞，多国网站紧急下线

紧急修复与下线避险

这两个漏洞被统称为PHP2Shell，编号分别为CVE-2026-109618和CVE-2026-109619。黑客可利用这些漏洞在未经登录的情况下远程在服务器上执行代码。今年8月，安全公司Calif在OpenAI资助的PHP安全审计中，使用GPT-5.6 Sol模型首次发现了这两个漏洞；随后，谷歌旗下Wiz公司借助Google Gemini 4 Argon与GPT-5.6 Sol也独立发现了相同漏洞。

漏洞细节于10月20日（周二）在网上遭到泄露，迫使PHP开发团队在10月21日紧急发布修复补丁，比原定计划提前了一天。

美国联邦调查局（FBI）建议，若运营方无法立即完成修补，应直接将网站下线。包括芬兰政府、爱丁堡市议会及英国广播公司（BBC）部分节目网站在内的多个机构均采取了下线措施。在日本，三菱日联金融集团、野村证券以及全日空航空（ANA）也暂停了部分在线服务。

数百万次攻击尝试

Cloudflare首席执行官马修·普林斯（Matthew Prince）透露，在官方公告发布前10小时内，公司就监测到了数千次利用尝试；公告发布后45分钟内跃升至“数万次”，两小时内达到“数十万次”，“目前已达数百万次”。亚马逊也表示，早在漏洞正式公开前四天的10月17日，攻击者就对其部署的诱饵系统发起了试探。

目前尚不清楚实际有多少系统遭遇实质性入侵。网络安全公司Arctic Wolf指出，目前鲜有证据表明攻击者正在大规模稳定利用该漏洞。但根据网络空间资产检索平台Censys的统计，全球约有3970万个运行受影响PHP版本的对外服务。

英国注资AI安全与基建防御

针对AI技术带来的安全风险，英国政府于10月24日宣布，将为英国AI安全研究所（AI Security Institute）追加1.2亿英镑拨款，并出资1亿英镑建立新的国家级AI生物安全实验室。相关举措将列入10月28日公布的预算更新案中，规划还涵盖利用AI工具排查国家关键基础设施的网络安全弱点。

英国AI事务部长卡尼什卡·纳拉扬（Kanishka Narayan）对此表示：“随着AI能力日益强大，英国必须具备保护公民安全并掌握自身未来的技术能力。”