北京
一门支撑着全球近70%网站的语言，被找出了一个严重漏洞。发现漏洞的消息在周二公开后，多国政府匆忙打补丁，部分网站干脆先下线。
比利时、荷兰、芬兰、法国和德国的部分政府网站都在临时下线的名单里。华盛顿和伦敦的国家安全机构先后发出警告，这意味着数以百万计的网站需要修复。
PHP 的维护组织在周三发布了补丁。漏洞是研究人员在测试网络防御时发现的。美国国家安全局建议所有使用 PHP 的机构，如果无法立即打补丁，就把系统下线。该机构称，这个漏洞可能“提供一条通往服务器文件系统或数据库的直接路径”。英国国家网络安全中心给出了类似建议，并提醒机构排查“攻击者安装的后门”。
受影响的不只是政府站点。WordPress 使用 PHP，维基百科使用 PHP，通讯软件 Slack 也使用 PHP，Facebook 在历史上也曾大量使用。维基媒体基金会表示，周三已作为预防措施下线了若干系统，直到完成补丁。
补丁公开之后，风险反而更大
修复方案已经公开，加上 AI 工具能轻易逆向分析这个漏洞，专家表示正在为涌入的入侵做准备——黑客想抢在更新铺开之前动手。
网络安全研究与事件响应公司 TLP:Black 联合创始人科斯廷·拉尤（Costin Raiu）说，AI 正在推动一场“漏洞利用竞赛”。他表示，下一步是“对互联网上每一台存在漏洞的 Web 服务器的大规模攻陷”。
萨里大学网络安全专家艾伦·伍德沃德教授（Alan Woodward）说：“这非常令人意外，也非常令人不安，因为 PHP 在世界范围内的使用太广了。PHP 很快就发布了补丁。关键是每个使用它的人都要装上，确保系统安全。”
他补充：“令人担忧的是，会有一长串维护不善的网站继续处于脆弱状态，这意味着我们可能看到持续数周乃至数月的攻击。对于那些大而诱人的目标，我真心希望它们正在快速打补丁。”
伍德沃德说，恶意行为者有一个时间窗口。“这是一场竞赛，不幸的是有些人甚至不知道自己已经在竞赛里。”
谁先发现的，说法并不一致
OpenAI 表示，它牵头的一个研究联盟发现了这个漏洞，并称“前沿 AI”起了关键作用。但发现该漏洞的研究人员表示，他们使用的是向公众开放的模型。
网络安全公司 Calif 在一篇博客中称，它在 8月1日借助一个大语言模型发现了这些漏洞，此后一直在研究修复方案。Alphabet 旗下的网络安全公司 Wiz 也在博客中表示，它借助自家的自主 AI 漏洞研究工具 Wiz Atlas，以及谷歌的 Gemini 4 Argon 和 OpenAI 的 GPT-5.6 Sol 发现了漏洞。
Wiz 的文章称，这些漏洞在 PHP 代码库中隐藏了十多年，人类黑客要利用它们会极其复杂。
亚马逊安全负责人 CJ·摩西（CJ Moses）在周三晚间的博客中表示，其安全团队在 10月17日检测到有人试图利用这些漏洞攻击公司的一个诱饵“蜜罐”系统，这比公开披露早了四天。摩西说，攻击来自一个匿名网络地址，表明是威胁行为者所为；目前不清楚该行为者是如何在漏洞仍处于保密期时得知它的。白宫在一份声明中表示，它在周五才得知这一漏洞。
从市政网站到身份服务，下线名单在拉长
在英国，爱丁堡、布里斯托和牛津市议会的网站被下线。在法国，包括巴黎警察局在内的地方政府网站在周三下线。在荷兰，国家数字身份服务、众议院网站和国家网络安全中心网站同样下线。澳大利亚信号局在当地时间夜间也受到短暂影响，该国防网络机构提醒其他政府网站可能也受到了类似影响。
互联网基础设施专家米哈乌·沃伊尼亚克（Michał Woźniak）说：“这个漏洞会被大量自动利用。”他表示，该漏洞可能让加密货币挖矿者以他人的成本利用脆弱服务器。他还说，大型犯罪组织和俄罗斯国家行为者可能把这些脆弱网站当作跳板，发动分布式拒绝服务（DDoS）等网络攻击。
沃伊尼亚克说，这件事暴露了互联网基础设施的糟糕状况——推进中的 AI 模型正在把这个问题照出来，而它本身是长期积累的结果。研究人员发现的底层漏洞已有数十年历史。
“这是一个行业里的环境问题，这个行业的激励是快速行动、快速改动，”他说，“激励是先部署一个东西，然后永远不更新，也不考虑维护。”
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
