PHP曝高危漏洞致多国网站紧急下线

10月21日，欧洲、加拿大和英国的多家政府、学校及医院网站相继下线。各机构正紧急修补两个存在于 PHP 语言中的严重安全漏洞。欧盟网络安全响应小组（CERT-EU）此前建议，无法及时完成补丁安装的运维方应直接停机维护。

这两个漏洞统称为“PHP2Shell”，追踪编号分别为 CVE-2026-109618 和 CVE-2026-109619。攻击者可利用该漏洞在未登录状态下直接在 Web 服务器上远程运行任意代码。PHP 官方已在 8.5.12、8.4.27、8.3.36 和 8.2.35 版本中发布补丁，并敦促所有用户立即升级。

多地关键系统临时关闭

为防范潜在攻击，德国联邦 IT 服务提供商、法国多地省政府网站、比利时外交部及芬兰政府网络服务均已采取预防性下线措施。在荷兰，鹿特丹港、政府统一门户 Overheid.nl 及多家医院网站同样暂停服务。维基媒体基金会也关闭了部分受影响系统。

在加拿大，人工智能事务部长埃文·所罗门（Evan Solomon）表示部分联邦网站已暂时关闭，纽芬兰与拉布拉多省、爱德华王子岛省的政府网站亦受波及。苏格兰 32 个地方议会中至少有 7 个、14 个卫生委员会中有 6 个一度关闭了对外网站。

网络安全公司 Cloudflare 表示已监测到早期攻击迹象。Palo Alto Networks 监测指出，全球有超过 2260 万个暴露在外的实例可能受到波及。澳大利亚网络安全机构则表示，暂未发现针对其本土的大规模实际利用。

细节外泄导致补丁提前发布

PHP 基金会原计划在 10 月 22 日协同补丁一同披露漏洞细节。但由于相关技术细节于 10 月 20 日在社交媒体上泄露，官方不得不提前一天紧急发布更新。

AI 在漏洞挖掘中扮演双刃剑

OpenAI 透露，其在过去两个月牵头协调了开源维护者、研究人员与安全厂商共同应对该问题。安全机构 Calif 在 OpenAI 的“修补地球”（Patch the Planet）计划支持下，利用 GPT-5.6 Sol 模型发现了其中一个关键漏洞；同时，Alphabet 旗下的云安全公司 Wiz 也独立发现并报告了两个漏洞。

Wiz 指出，相关存在隐患的代码已在代码库中潜伏了十余年。研究人员认为，这两个漏洞“位列 PHP 历史上最严重的漏洞之一”，而前沿大语言模型大幅降低了将此类长期潜伏代码转化为可用漏洞利用（Exploit）的技术门槛。

OpenAI 将此次发现称为“近年来影响最深远的安全事件之一”，并在接受德新社国际版采访时表示：“据我们所知，前沿 AI 赶在攻击者之前发现了这些漏洞，从而为维护团队和安全防御方争取到了宝贵的修复窗口。”