AI意外挖出PHP高危漏洞，FBI敦促全球立即修补

全球多国政府与企业近日紧急应对两个严重的 PHP 安全漏洞。作为支撑全球多达 70% 网站的编程语言，PHP 此次被曝出的漏洞最早由人工智能辅助挖掘发现。漏洞细节泄露后，网络攻击尝试急剧增加，部分网络安全专家甚至将这一阶段称为“黑色十月”。

这两个漏洞分别被标记为 CVE-2026-109618 和 CVE-2026-109619，合称为“PHP2Shell”。攻击者无需登录系统，即可利用漏洞在目标服务器上远程运行任意代码。PHP 官方已于 10 月 21 日针对 8.2 至 8.5 版本紧急推送了修复补丁。美国联邦调查局（FBI）发布公告警告：“安全更新现已发布，各机构必须立即部署。”

预警与多国服务中断

美国国家安全局（NSA）、FBI 以及网络安全和基础设施安全局（CISA）联合敦促各类组织立即修补系统，若无法及时修补则应先行将系统断网下线。NSA 指出，此类漏洞往往能让攻击者直接访问服务器的文件系统或底层数据库。

在修复推进期间，英国、芬兰和日本的部分政府网站遭遇了服务中断或受限访问。纽约州布鲁姆县出于安全考量，于周五主动关闭了官方网站，且未公布具体的恢复时间。

漏洞如何被 AI 挖出

漏洞的发现充满戏剧性。今年 8 月，Google 旗下安全公司 Wiz 的研究员萨吉·查迪克（Sagi Tzadik）尝试让一个 AI 智能体将 WordPress 的漏洞利用代码改写至 Drupal 平台。AI 智能体未能完成该任务，却意外翻出了一个在 PHP 内部潜伏了十多年的底层缺陷。

与此同时，安全机构 Calif 在与 OpenAI 合作测试时，也发现了与之相关的缺陷。约 15 名安全专家随后组成攻关团队协同开发修复方案。

然而，漏洞信息在原定补丁发布日前两天提前泄露，促使 PHP 维护团队将补丁提前一天上线。数小时后，Calif 误将一段漏洞利用演示视频公开发布。据 Cloudflare 统计，在公开披露后的 45 分钟内就监测到了数万次攻击尝试，随后攻击次数激增至数百万次。PHP 基金会承认部分相关隐患早在 2024 年就已被知晓，并将此次修复迟缓形容为一次“结构性失败”。

防护建议

安全专家指出，主要的防护责任落在网站运营机构肩上，但普通个人用户仍需加强防范。Trail of Bits 专家丹·吉多（Dan Guido）建议个人开启手机、电脑和家用路由器的自动更新，并使用多因素身份验证与独立密码。CISA 前局长克里斯·克雷布斯（Chris Krebs）则呼吁中小企业保持高频漏洞扫描并尽快打齐补丁，直言“这是近来网络安全领域非常关键的一到两周”。