PHP 语言重大漏洞，中招了怎么办？

10月21日，PHP 曝出两项严重安全漏洞，危险评分均达到 9.2 分（满分 10 分）。在受影响的环境下，攻击者可能无需登录，就能远程执行恶意代码，甚至获取服务器进程内存中的敏感信息。

为什么这次事件引发全球关注？

因为 PHP 太普及了。根据 W3Techs 的统计，截至2026年10月，约69.3%的服务器端编程语言可识别的网站使用 PHP。漏洞曝光后，荷兰多个政府网站，包括 Overheid.nl、MijnOverheid.nl 和 DigiD，采取了预防性下线措施，以降低潜在风险。

这次漏洞的发现也有 AI 的参与。安全研究人员借助 AI 工具发现并验证了相关问题，PHP 维护团队随后发布修复更新。

对企业来说，这不只是一条技术新闻，更是一个现实问题：如果企业正在使用的软件也出现重大漏洞，而供应商却告诉你“产品已经停止维护，无法升级”，该怎么办？

一、漏洞有补丁，系统却升不了级

某家制造企业，多年前定制了一套仓库管理系统，用来管理物料入库、出库、库存和领用。系统基于 PHP 开发，运行多年，一直没有大问题。得知 PHP 出现重大漏洞后，企业第一时间联系供应商，希望尽快升级。

得到的答复却是：“这个产品已经停止维护，无法提供升级服务。”

企业一下陷入两难：不升级，担心系统面临安全风险；升级，又没有供应商负责兼容性改造。仓库每天都要运转，系统不能说停就停。

为什么不能直接安装一个修复版本？

因为PHP 8.0 及更早的多个版本已经停止官方常规维护，旧版本不能获得官方的升级补丁支持。如果底层操作系统也已停止维护，升级范围还可能进一步扩大：先迁移操作系统，再升级 PHP、更新应用，最后验证整个系统能否正常运行。

原本只是修复一个漏洞，最后却可能变成操作系统迁移、运行环境升级、应用改造和全面测试的一整套工程。工作量和成本，远远高于安装一个补丁。

因此，企业不能只等漏洞出现后再考虑修复，而应选择持续维护、持续升级的软件产品，并确保底层环境和应用程序都具备清晰、可行的升级路径。

二、PHP 不是特例，Java 也曾付出惨痛代价

有人可能会认为，这是 PHP 的问题，换一种成熟的编程语言就好了。

事实并非如此。

2021 年，阿里巴巴云安全团队发现并报告了Java生态中的重大安全漏洞Log4Shell（CVE-2021-44228）。漏洞存在于广泛使用的 Apache Log4j 2 日志组件中，CVSS 严重性评分达到满分 10.0。在受影响的环境下，攻击者可能利用漏洞远程执行代码，进而控制目标服务器。

更令人警惕的是，相关易受攻击的代码早在 2013 年就已存在。一个潜伏多年的问题，直到 2021 年才被公开披露，影响了大量依赖这一组件的应用系统。

图片来源：阿里云官方安全公告

而在2017 年，美国征信巨头 Equifax 遭遇重大数据泄露事件，约 1.47 亿人的个人信息受到影响。事后调查发现，攻击者利用的正是其在线用户申诉系统所使用的Apache Struts框架漏洞（CVE-2017-5638）。

Apache Struts 2是基于Java的 Web 应用开发框架。这次漏洞于 2017 年 3 月 7 日公开披露并发布修复方案，次日美国国土安全部门便向Equifax发出警报。然而，Equifax 未能全面修补受影响的系统。到了 5 月，攻击者利用漏洞入侵系统，持续窃取数据，直到7 月底才被发现。2019 年，Equifax 与美国联邦贸易委员会、消费者金融保护局及多个州达成和解，金额至少为5.75 亿美元，最高可达7 亿美元。

图片来源：美国联邦贸易委员会公告

需要说明的是，这次事故并非只因一个补丁没有安装，还涉及安全监控、凭据管理等多项问题。但未能及时修补已经公开的严重漏洞，无疑是事故发生的重要原因之一。

从PHP到 Java，问题从来不在于哪种编程语言绝对安全，而在于漏洞出现后，企业能不能及时修复。

三、AI 时代，漏洞发现正在加速

过去，漏洞研究主要依赖安全研究员的代码审计、自动化测试和反复验证。现在，AI 正在改变这一过程：它不仅能帮助分析代码，还能定位复杂漏洞、验证攻击路径，甚至辅助构造利用程序。

2024 年，Google 的 Big Sleep AI 智能体在SQLite中发现了一个此前未知、可利用的漏洞。这是 AI 智能体在真实软件中发现此类漏洞的早期公开案例。开发者当天就完成了修复，漏洞在正式版本发布前得到解决。

图片来源：Google Project Zero

2026 年 5 月，Google 首次公开披露了犯罪团伙很可能借助 AI 参与零日漏洞研究和攻击工具开发的案例。该团伙计划利用相关漏洞开展大规模攻击，最终被安全团队发现并阻止。AI 辅助漏洞研究，已经不只是防御者的工具。

图片来源：Google Threat Intelligence Group

同年，Anthropic 公布的 Mythos 研究结果显示，AI 已能在主流操作系统和浏览器中发现并利用零日漏洞；后续扫描还发现了大量需要核实、修复的高危安全问题。

图片来源：Anthropic

而最新的 PHP2Shell 事件，更直接展示了这种能力的现实影响：研究人员借助 AI 发现了影响广泛的PHP严重漏洞，相关问题一经公开，全球大量网站和业务系统便面临升级压力。OpenAI 也表示，预计未来几个月类似的漏洞发现会明显增加。

图片来源：OpenAI 官方公告

这意味着，漏洞可能被更快发现，攻击工具也可能更快出现。

对企业来说，真正的风险不是软件出现漏洞，而是漏洞已经公开，自己的系统却多年没有升级，甚至连供应商都不再维护。

漏洞无法保证不出现，但企业至少应该确保：出了问题，有人修；需要升级，升得动。

四、企业如何避免陷入“有漏洞、没人修”？

企业无法保证软件永远没有漏洞，但可以通过采购方式和管理机制，降低出现问题后的处理成本。

1. 买软件，更要买持续服务

很多企业采购软件时，习惯比较一次性采购价格，却很少计算未来十年的维护成本。

软件不是买回来就可以一劳永逸。漏洞需要修复，操作系统和浏览器需要适配，业务需求也会变化。如果采购时只支付一次开发和交付费用，却没有后续维护预算，项目结束后，持续升级就容易失去资源保障。

因此，对于长期运行、承载核心业务数据的系统，企业应优先考虑按年订阅，或者购买包含明确维护义务的年度服务。

采购时至少要明确四件事：

• 安全更新：发现严重漏洞后，供应商如何响应？
• 持续升级：是否持续提供版本更新、兼容性维护和技术支持？
• 版本支持：当前版本支持到什么时候，停止维护前是否提前通知？
• 退出机制：如果不再续约或供应商停止服务，企业能否完整导出数据并迁移？

按年订阅不是绝对安全的保证，买断也不必然意味着无人维护。真正重要的是，供应商有没有持续投入的能力，合同有没有明确约定后续服务责任。

软件可以一次交付，但维护不能只靠一次交付来保障。

2. 能买标准软件，就不要轻易定制

标准软件与定制软件的一个重要区别，在于升级能否形成可重复的流程。

标准软件通常采用统一的产品架构和版本体系。供应商修复通用漏洞、推出新功能后，可以经过测试，再将更新推广给多个客户。客户不必各自重新开发一遍。

定制软件则可能为每家客户保留不同的代码和业务逻辑。升级时，供应商需要逐一评估定制代码、第三方接口和业务流程的影响，再进行修改和回归测试。定制越深，升级成本往往越高，甚至可能接近重新开发。

当然，标准软件也不是所有版本都能一键升级。真正的优势在于，成熟的标准产品能够通过统一的架构、版本管理和持续迭代，让维护和升级更容易形成稳定流程。

因此，企业应该优先选择成熟的标准产品，通过配置、权限设置和标准接口满足个性化需求；确实存在差异化需求时，再评估定制的必要性、长期维护成本和退出方案。

标准软件升级，是让成熟产品持续进化；过度定制，则可能让每次升级都成为新的开发项目。

对于研发企业，这个选择还关系到未来的数据价值。

电子实验记录本（ELN）承载实验过程、实验结果和审计追踪；AI 智能体则需要利用这些研发数据开展检索、分析和知识复用。如果底层系统长期无法升级，不仅影响日常使用，也可能阻碍后续的 AI 应用。

这也是鹰谷持续推进InELN、InAI等研发数智化产品建设的方向：通过标准化产品持续迭代，帮助企业规范沉淀研发数据，并在此基础上进一步分析和复用研发知识。

好的软件，不是为每个客户重复开发，而是让一套成熟的产品持续进化，让更多客户持续受益。

企业采购软件，买的不只是今天能用的功能，更是未来能够持续升级、不断创造价值的能力。