纳德拉称PHP严重漏洞危机多年未见

微软首席执行官萨蒂亚·纳德拉（Satya Nadella）周四在德国科隆的一场公司活动中表示，近期全球围绕 PHP 编程语言漏洞展开的紧急应对在近年没有先例。「我已经很久没有见过这样的情况了，」纳德拉说道，「我知道对于所有的 IT 和安全人员来说，这度过了一个漫长而艰难的日夜。」

此前，PHP 开发者团队于 10 月 21 日（周三）发布了两个漏洞的安全补丁。这两个潜伏在代码库中多年的漏洞正是借助 AI 工具辅助挖掘出来的。补丁公布后，全球多国政府和企业争分夺秒地部署修复，与此同时网络攻击尝试已激增至数百万次。

攻击尝试飙升至数百万次

此次涉及的漏洞代号为 CVE-2026-109618 与 CVE-2026-109619，被统称为「php2shell」。攻击者可利用该漏洞在未修补的服务器上执行远程代码。目前全球约 70% 的网站采用 PHP 运行。

Cloudflare 首席执行官马修·普林斯（Matthew Prince）表示，利用尝试在漏洞披露前仅有数千次，而在「公告发布后 45 分钟内上升到数万次，2 小时内达到数十万次，如今已达数百万次」。亚马逊也表示，早在漏洞公开披露前四天的 10 月 17 日，就监测到其诱饵系统遭到了攻击尝试，目前 PHP2Shell 漏洞「已被广泛在野利用」。

安全公司 Calif 在今年 8 月借助 OpenAI 资助的代码审计项目，利用 GPT-5.6 Sol 模型发现了这些缺陷；Wiz Research 也独立发现了同样的问题。需要注意的是，PHP 8.1 及更早版本将不会获得官方修复支持。

从东京到赫尔辛基的多国系统关停

漏洞曝光后引发全球广泛联动防御。在日本，野村证券、三菱日联金融集团、全日空航空（ANA）及东日本旅客铁道（JR东日本）暂时停运了部分线上服务，朝日集团与东京海上控股也主动下线了相关网站。

在欧洲，法国电信运营商 Orange 限制了部分基于 PHP 的站点访问；芬兰国家 IT 供应商 Valtori 警告，恢复全面服务「可能需要数天乃至数周」。此外，韩国上调了私营部门的网络警报等级，美国国家安全局（NSA）也要求各机构在未来数周保持「高度戒备」。

行业疲态与虚假信息

多位 IT 运维人员表示过去 48 小时极度令人疲惫。英国系统管理员亚当·马德（Adam Mudd）坦言「局势几乎令人喘不过气」。安全专家指出，网络上关于可用 Exploit 的虚假传言加剧了恐慌情绪，不过截至目前尚未发现发生大规模成功入侵的直接证据。Wordfence 创始人马克·蒙德（Mark Maunder）提醒，在 AI 工具挖掘出更多此类深层漏洞之前，整个行业必须建立更清晰精准的信息传递机制。