PHP致命漏洞遭黑客提前四天利用 全球网... Features
据《金融时报》2026年10月22日报道，亚马逊旗下云计算部门当天发出紧急警告：一个影响全球约70%网站的PHP安全漏洞正被黑客“大规模利用”。更令人震惊的是，攻击者在漏洞公开前四天就已开始探测目标，而这一隐藏超过十年的致命缺陷竟是由人工智能工具率先发现的。美国国家安全局与英国国家网络安全中心同日发布红色警报，要求所有使用PHP的组织立即更新系统或断网隔离。
明星好友漏洞曝光与全球紧急响应
2026年10月22日，PHP官方维护团队紧急发布安全补丁，修复了两个被统称为“PHP2Shell”的远程代码执行漏洞。据Ars Technica援引的安全报告，这些漏洞允许攻击者在无需任何认证的情况下直接获取服务器的文件系统或数据库控制权。美国国家安全局在当天发布的警告中直言：“这些漏洞通常提供一条直达服务器文件系统或数据库的路径。如果无法立即更新，建议组织将系统离线直至完全修复。”英国国家网络安全中心也表示，漏洞可能让黑客“无需密码或其他登录凭证即可夺取网站服务器控制权”。
明星前任黑客提前四天发起攻击
亚马逊安全团队透露，其威胁情报系统早在2026年10月18日就监测到针对该漏洞的试探性攻击——这比PHP团队正式公开漏洞早了整整四天。“我们已经识别出黑客在漏洞披露前四天尝试利用的迹象，”亚马逊在声明中表示，“这些漏洞现在正在野外被广泛利用。”这意味着在安全社区尚未知晓威胁存在时，攻击者已经获得了宝贵的“先手优势”。安全专家指出，这种“零日预利用”模式在近年愈发常见，但提前四天的窗口期仍属罕见。
明星初恋AI在漏洞发现中的关键角色
本次漏洞的发现者是美国两家网络安全公司——卡利夫(Calif)与威兹(Wiz)。值得注意的是，他们的发现过程借助了OpenAI和Google的AI模型。开放人工智能在声明中表示：“据我们所知，前沿AI在攻击者之前发现了这些漏洞。这凸显了AI如何能够发现具有互联网规模影响的安全缺陷，但同时，同样的能力也能帮助攻击者快速开发进攻性工具和利用代码。”PHP维护团队、卡利夫、威兹以及OpenAI共同合作验证了漏洞并开发了补丁。这一事件标志着AI在网络安全领域从“辅助工具”向“核心发现引擎”的转变。
影响范围：WordPress生态首当其冲
PHP语言的广泛存在主要得益于WordPress——全球最流行的网站构建平台，其核心代码几乎完全由PHP编写。威兹公司估算，PHP驱动了全球约70%的网站。这意味着任何运行PHP的服务器，尤其是使用旧版本PHP的WordPress站点，都可能成为攻击目标。白宫已表示联邦机构正在评估漏洞对政府系统和关键基础设施的潜在影响。欧洲部分国家政府据报已暂时下线受影响网站以进行紧急修补。
| 时间节点 | 事件 | 关键方 |
|---|
| --- | --- | --- |
|---|
| 2026年10月18日 | 黑客开始试探性攻击 | 未知攻击者 |
|---|
| 2026年10月22日 | 漏洞公开，补丁发布 | PHP团队、NSA、NCSC |
|---|
| 2026年10月22日 | 亚马逊发出“广泛利用”警告 | AWS |
|---|
| 2026年10月22日 | OpenAI确认AI发现漏洞 | OpenAI |
|---|
| 过去十年+ | 漏洞潜伏期 | 全球PHP用户 |
|---|
专家评论与未来警示
OpenAI在声明中称：“考虑到这些漏洞的严重性和PHP的广泛使用，我们认为这是近年来最具影响力的安全事件之一。”同一表态也强调了AI的双刃剑效应：既能提前发现隐患，也可能被攻击者滥用。英国国家网络安全中心督促“英国组织立即采取行动”。安全研究人士指出，此次事件再次证明，关键基础设施的防护不能仅依赖传统漏洞扫描，AI驱动的主动防御将成为新常态。
常见问题解答
Q1: PHP2Shell漏洞具体指什么？
A1: 这是两个存在于PHP核心中的远程代码执行漏洞，编号尚未公开。攻击者可以利用它们无需认证即可远程控制服务器，执行任意命令或窃取数据。漏洞由卡利夫和威兹公司在AI辅助下发现，并被OpenAI确认。
Q2: 我的网站是否受影响？该如何防护？
A2: 如果您使用PHP驱动的网站（尤其是WordPress），请立即检查PHP版本并更新至官方发布的最新补丁。如果无法立即更新，建议暂时将网站下线。同时检查服务器日志中是否有异常访问记录。更多信息可参考美国国家安全局和英国国家网络安全中心的官方指南。
总结与展望
PHP安全漏洞事件揭示了两个趋势：一是攻击者正加速利用信息不对称优势提前发动攻击；二是AI正在重塑网络安全攻防格局。对于全球数以亿计的网站管理员而言，立即修补漏洞是当务之急。长远来看，采用AI增强的漏洞发现与响应机制将成为保障PHP安全生态的核心手段。
