OpenAI发现PHP“世纪漏洞”，多国发布警报，全球70%网站都危险了

全球70%的网站，一夜之间都“危险了”？

2026年10月21日，PHP官方紧急发布补丁，一场波及全球的网络安全警报就此拉响。

两个潜伏了十多年的致命漏洞，被AI挖了出来，荷兰、法国、丹麦、芬兰，多国政府网站紧急下线。

而发现这“世纪漏洞”的功臣，竟是OpenAI的人工智能。

AI能写诗、画画，如今还能当“网络安全侦探”了？这场风暴，到底有多严重？

潜伏十年的暗门

先说说这次出事的主角，PHP。

很多人不熟悉它，但它其实无处不在。PHP是一种服务器端脚本语言，专门用来生成网页、连接数据库。全球约70%的网站，后台都跑着PHP，从政府门户到企业官网，从维基百科到各种论坛系统，几乎处处是它的身影。毫不夸张地说，它撑起了大半个互联网。

可就是这么一个核心角色，它的身体里，藏着两道暗门。

这两个漏洞，被合称为PHP2Shell，官方编号CVE-2026-109618和CVE-2026-109619，属于严重的远程代码执行漏洞。啥叫远程代码执行？

说白了，就是黑客只要摸到漏洞，就能远程在网站的服务器上，执行任意代码，想干啥干啥。篡改网页、窃取数据、植入木马，一条龙全包。PHP基金会给这两个漏洞的严重程度，打了9.2分，满分10分。

更吓人的是，这两道暗门，已经潜伏了超过十年。十年里，无数网站在漏洞上运行，无数安全专家做过检查，愣是没人发现。它们就像埋在网络地基里的两颗哑弹，谁也不知道，哪天会被引爆。

检测数据显示，这次漏洞影响的，不只是普通网站。一些国家的政府系统、金融平台、医疗系统，都在暴露名单上。说白了，只要服务器上跑着受影响的PHP版本，无论网站大小，都可能成为黑客的靶子。

AI挖出世纪漏洞

那这两颗哑弹，是怎么被发现的？

答案出人意料，靠AI。

今年8月11日，一家名叫Calif的网络安全公司，借助OpenAI的人工智能模型，对PHP源代码进行排查，结果，真把这两道暗门给揪了出来。没过多久，另一家安全公司Wiz也独立发现了同样的问题。随后，谷歌、OpenAI等团队纷纷加入，协同PHP官方研究修复方案，直到10月21日，补丁发布，漏洞信息才正式向全世界公开。

整个发现过程，最颠覆认知的地方在于，漏洞是人写的，却是AI找到的。

值得一提的是，这次发现，背后是OpenAI主导的一项叫修补地球的计划。计划的目的很直白，组织AI研究团队，专门去翻那些开源软件的源代码，提前找出漏洞，赶在黑客动手之前，把门补上。PHP2Shell，就是这个计划交出的首个重磅成果。

过去，安全专家靠经验、靠直觉、靠日复一日地翻代码，把安全漏洞一个个找出来。可人的精力终究有限，代码量动辄千万行，总会有漏网之鱼。而AI不一样，它能不吃不喝地扫，能发现人类眼睛注意不到的规律。这次PHP2Shell，就是AI在网络安全领域，交出的又一份成绩单。

有人开玩笑说，以前是AI写代码，人类找bug，现在好了，AI写的代码，还得靠AI来找bug，人类在旁边递咖啡就行。

多国告急，紧急关站

漏洞公开，警报随即拉响。

10月21日当天，荷兰国家网络安全中心，直接关闭了自己的官方网站，等待修复。荷兰司法系统的一批网站，也紧急下线。紧接着，法国、丹麦、芬兰等多国政府网站，陆续关停。整个欧洲，风声鹤唳。

连日本首相都坐不住了，公开催着相关部门和机构，赶紧打补丁。维基百科背后的维基媒体系统、公共卫生机构，也都进入了紧急修补模式。全球的程序员，迎来了一场集体加班。

国内同样高度关注，央视新闻等主流媒体，接连发文解读这起事件，提醒相关企业排查风险。网络安全没有旁观者，谁跑着旧版PHP，谁就得打起十二分精神。

可问题在于，补丁不是万能的。PHP官方这次只给四个新版本发了修复，大量还在运行旧版本的老网站，压根没有补丁可打。有安全机构统计，全球约260万个PHP主机中，可能有150万个处于暴露状态。也就是说，一半多的网站，明知道有暗门，却连修都修不了。

更糟的是，专家警告，漏洞细节公开后，黑客完全可以借助AI工具，快速写出利用代码。过去，挖漏洞需要高手，现在，AI把门槛拉低了，攻击可能说来就来。

大川个人认为，这场PHP风暴，最值得琢磨的，是AI的两副面孔。

一面，AI是救火的。它发现了人类十年都没发现的漏洞，逼着全球打补丁，立了大功。可另一面，AI也是点火的。漏洞一公开，黑客同样能用AI，更快、更狠地发起攻击。救火的和放火的，用的是同一种工具。

说白了，AI没有善恶，关键看握在谁手里。

对普通网友来说，这场风暴离我们远吗？其实不远。你逛的政府网站，用的在线服务，刷的论坛，背后可能都是PHP。网站管理员连夜打补丁，就是怕哪天一觉醒来，网站变成了黑客的傀儡。

技术的进步，从来都是双刃剑。AI能守护网络安全，也能摧毁它。而我们普通人能做的，就是多看新闻，多信官方，别在来路不明的网站上，随便输密码。至于那150万个暴露的主机，只能祈祷黑客下手前，管理员把补丁打完了。

最后，大川想问一句，当AI既能发现漏洞、又能制造攻击，你觉得，我们该放心，还是该害怕？