NSA建议未修补PHP网站下线

全球政府机构和企业在10月21日至22日期间紧急将大量网站下线，以修补流行编程语言PHP中的两个严重安全漏洞。全球约有70%的网站由PHP支持。美国国家安全局（NSA）建议无法立即完成更新的机构，在完成补丁安装前应直接将相关系统离线。

这两个被称为「PHP2Shell」的高危漏洞是在前沿人工智能模型的辅助下发现的。在漏洞细节披露后的数小时内，网络攻击者已发起了数百万次恶意利用尝试。

紧急补丁与全球安全警报

这两个漏洞编号分别为CVE-2026-109618和CVE-2026-109619。攻击者无需登录权限，即可在目标Web服务器上远程执行代码。自PHP 5.4版本以来的所有PHP发行版均受其中至少一个漏洞影响。

PHP官方已于10月21日发布了紧急安全版本，包括8.5.12、8.4.27、8.3.36和8.2.35。NSA指出，这些漏洞存在于PHP语言底层本身，而非托管的上层应用程序中，网络恶意行为者极有可能将其武器化。英国国家网络安全中心（NCSC）也发出了类似警告。

来自OpenAI、Calif以及谷歌旗下Wiz的安全研究人员利用前沿AI模型锁定了该漏洞。Wiz表示：「过去需要世界一流团队数月才能完成的工作，如今单名研究人员借助AI在一周内便完成了。」然而，技术细节在补丁完全就绪前遭到泄露。Cloudflare首席执行官Matthew Prince透露，利用尝试已从公告前的数千次激增至「目前的数百万次」。

全球关键服务受到波及

从欧洲到亚洲，大批公共服务与企业网络受到冲击：

• 德国联邦IT服务提供商、法国多省政府网站以及比利时外交部均暂时下线了相关系统。
• 捷克政府网站于周三晚间关停。
• 在日本，野村证券、三菱日联金融集团、全日空航空以及东日本旅客铁道暂停了部分在线服务，日本国税厅服务也出现短暂下线。
• 电信运营商Orange限制了对部分站点的访问；韩国则调高了私营部门的网络威胁警戒级别。

微软首席执行官萨蒂亚·纳德拉（Satya Nadella）对此表示：「我已经很久很久没有见过这种程度的突发影响了。」芬兰国家IT服务机构Valtori警告，部分服务的完全恢复可能需要「数天甚至数周」。

防御者的艰难时刻

与此同时，多个关键基础设施也在同一时期曝出严重问题。Node.js修复了四个高危漏洞，其中一个涉及远程代码执行；流行开源AI代理工具LiteLLM遭到黑客入侵并发布了窃取凭据的恶意版本；印度数字认证机构eMudhra的私钥遭到泄露，可能导致攻击者签发欺诈性证书。

Wiz将PHP2Shell比作2014年的心脏出血（Heartbleed）漏洞。该机构强调，这些底层漏洞已经在代码库中存在了数十年，而AI工具的介入，大幅降低了将陈年漏洞转化为实际攻击载荷的技术门槛。