周三（10月21日），随着全球最广泛使用的网络编程语言之一PHP中两项严重安全漏洞的披露，欧洲多地政府网站及在线服务被迫下线。荷兰、法国、丹麦和芬兰等国家的政府机构纷纷采取预防措施，临时关闭网站和服务，管理员则紧急安装安全更新。科技公司也检测到黑客试图利用这些漏洞的攻击行为。
PHP开发团队于周三发布了紧急安全更新，涵盖PHP 8.2至8.5版本。这两个漏洞被标识为CVE-2026-109618和CVE-2026-109619，根据通用漏洞评分系统（CVSS），各自评分高达9.2分（满分10分）。这两处缺陷均可导致未经身份验证的远程代码执行，意味着攻击者可能无需获取登录凭据即可在易受攻击的服务器上运行恶意代码。PHP开发人员表示，目前没有完整的替代保护措施，并敦促用户立即进行更新。
作为预防措施，欧洲各地当局在修补程序安装期间临时禁用了受影响的系统。在荷兰，国家网络安全中心出于谨慎考虑将其自身网站下线。采取类似措施的其他荷兰组织包括鹿特丹港、政府门户Overheid.nl、荷兰皇家足球协会（KNVB）、该国五大政党的网站以及多家医院。丹麦市政IT公司Kombit关闭了多项服务，其中包括全国学校通信平台；而芬兰国家IT服务提供商Valtori则将政府公共网络服务下线。法国内政部将其所有网站置于预防性维护状态。中断范围超出了政府服务。维基百科运营商在能够安全应用补丁之前，暂时禁用了未指明数量的系统，互联网档案馆也短暂下线以解决该漏洞。日本首相高市早苗敦促网站运营商检查其服务是否使用PHP，并准备安装新的安全更新。
PHP是一种自1990年代初以来一直用于网页开发的免费开源编程语言。当某人访问由PHP驱动的网站时，服务器上运行的软件会处理并组装页面，然后将其发送给访问者的浏览器。它是WordPress、Drupal、Joomla和Magento等平台底层技术的一部分。据路透社引用的W3Techs数据显示，在能识别服务器端编程语言的网站中，约75%使用PHP，这意味着其核心软件中的漏洞可能产生深远影响。Drupal协会临时首席执行官蒂芙尼·法里斯警告称，运行过去二十年间发布的PHP版本的服务器可能会暴露在新披露的漏洞之下。互联网情报公司Censys的数据显示，在检测到的260万个主机中，约有150万个报告运行当时尚无修复方案的PHP版本，这凸显了网站管理员面临的挑战规模。
这些漏洞在PHP代码中隐藏了十多年，最终由网络安全研究人员利用人工智能独立发现。网络安全公司Calif告诉路透社，他们在8月1日借助大语言模型协助发现了这些漏洞，并从此一直在进行修复工作。阿尔法贝特（Alphabet）旗下的网络安全公司Wiz则通过其自主AI安全研究系统Wiz Atlas，结合谷歌的Gemini 4 Argon和OpenAI的GPT-5.6 Sol，分别发现了这些漏洞。Wiz表示，易受攻击的代码已存在超过10年，并且在AI进步之前，利用这些漏洞需要人类研究人员进行极其复杂的工作。该公司称，其研究人员于8月19日发现了第一个漏洞，次日确认了对Drupal的未经身份验证的远程代码执行，并于8月21日确认了对WordPress的攻击。他们于8月24日向PHP安全团队报告了这些漏洞。随后，Wiz、Calif、PHP团队和OpenAI在10月21日公开披露和发布安全补丁之前协调了各自的工作。网络安全研究和事件响应公司TLP的联合创始人科斯汀·莱尤告诉路透社，人工智能正在加速“利用漏洞的竞赛”，增加了尚未更新的服务器遭受广泛攻击的可能性。
在漏洞细节公开之前，就已出现试图利用这些漏洞的证据。亚马逊安全主管CJ Moses表示，该公司在10月17日，即公开披露前四天，检测到一个针对其“蜜罐”系统（旨在检测恶意活动的诱饵基础设施）的利用企图。该企图来自匿名互联网地址，表明可能存在网络威胁行为者的活动，尽管亚马逊表示尚不清楚攻击者是如何获知仍在信息保密期的漏洞。周三在保密期结束前，还检测到多个行为者的进一步利用尝试。亚马逊后来描述这些漏洞在野外被广泛利用，尽管该公司表示，尚不清楚早期的尝试是否会在真实网站上成功。白宫表示，他们已于上周五获悉有关漏洞的情况。伦敦国王学院客座高级研究员卢卡什·奥莱尼警告称，PHP的广泛使用与人工智能辅助利用相结合，可能使攻击迅速蔓延到尚未修补的服务器上。PHP开发人员敦促管理员立即安装最新版本，并表示更新是唯一安全的响应措施，因为对于这两个关键漏洞不存在完全的缓解措施。
来源：路透社
