PHP暴发高危漏洞引发全球断网潮

PHP 曝出两个高危安全漏洞后，全球多国政府部门、警方及公共服务机构的网站相继下线。作为支撑全球约 70% 网站的后端脚本语言，PHP 此次的缺陷引发了巨大的网络安全震荡。《华尔街日报》报道称，多国应急响应团队正承受专家所称的“黑色十月”（Black October）重压——在这一个月里，安全威胁演变极快，业内许多人士将此归因于 AI 技术的进展。

Anthropic 副首席信息安全官 Jason Clinton 接受彭博社采访时警告，眼下的混乱局面在好转之前“还会严重得多”。

全球紧急修复，多国公共服务下线

这两个漏洞编号分别为 CVE-2026-109618 和 CVE-2026-109619，被统称为 PHP2Shell。攻击者可在未经身份验证的情况下在服务器上直接执行代码，两者的严重程度评分均达到 9.2 分（满分 10 分）。PHP 维护团队已于 10 月 21 日发布了修复版本。

路透社报道称，这些漏洞在代码中隐蔽存在多年，直到借助 AI 工具才被挖掘出来。作为预防措施，欧洲等地的政府机构已主动关闭相关服务：

• 英国、德国、法国、比利时、芬兰、荷兰和澳大利亚的政府网站在打补丁前相继下线。
• 据 NBC 新闻报道，日本为日托中心提供服务的系统一度中断，维基百科部分页面也出现短暂故障。
• 美国国家安全局（NSA）建议无法立即更新的机构先将受影响系统彻底下线。
• 美国医院协会（AHA）已向其会员机构转发了 FBI 与 NSA 的联合防御指引。
• Cloudflare 监测并拦截了数百万次针对该漏洞的利用尝试。

更为严峻的是，官方发布的修复补丁仅覆盖 PHP 8.2 及更新版本，这意味着大量运行旧版本 PHP 的存量网站仍然处于暴露状态。

AI 双刃剑：防线还需坚守 18 个月

Jason Clinton 在 X 平台上发文呼吁，企业安全负责人应向董事会寻求资源支持，“不是为了上马 AI，而是为了做好最基本的安全防护”。他补充道：“我们还需要咬牙坚守大约 18 个月。”早在今年 8 月，他就曾预测关键基础设施在完成加固前会先迎来一场“漏洞海啸”。

据 Clinton 预测，真正的缓解期将来自“零漏洞”（vulnzero）时代的到来。届时，低成本且高能力的 AI 模型将帮助开发者在代码交付前捕获并清除绝大部分缺陷。事实上，此次 PHP 的漏洞正是借助 OpenAI 等公司的 AI 工具挖掘出的。

这一表态也引发了业内对“双用途技术”的争议。有批评者认为，在防御机制尚未就绪时，AI 公司加速漏洞挖掘实际上是在加剧网络威胁，甚至指责 AI 实验室“亲手制造了怪物”。对此，Clinton 回应称：“我们此前一直在尝试向全世界预警。”