AI 发现 PHP 多年漏洞，全球多国机构紧急下线网站

图片来源：Getty Images 作者：Osmond Chia，商业记者

发布时间：2026年10月22日 04:48 英国夏令时 更新于5分钟前

十多年来，支撑互联网大部分运作的技术中一直存在严重缺陷，却始终未被发现。

直到人工智能（AI）才让这些缺陷浮出水面，并引发了全球网络安全警报。

这些漏洞存在于一种名为 PHP 的编程语言中，自2000年代以来，该语言在全球范围内被用于构建网站。

周三，世界各国政府和网络安全机构紧急行动，力图控制这一发现带来的影响，并敦促网站运营者安装新的紧急修复程序，或考虑将平台下线。

网络安全公司 Wiz 是研究人员发现这些漏洞的公司之一，该公司称这些缺陷是 AI 迄今检测到的“最严重”漏洞。

其技术被用于发现这些漏洞的 OpenAI 称，这一发现是“近期记忆中最具影响的安全问题之一”。

漏洞是什么？

大多数人可能没听说过 PHP——它是 PHP: Hypertext Preprocessor（超文本预处理器）的缩写——但他们日常生活中肯定会接触到它。

PHP 为大量平台提供支持，包括在线商店、维基百科和 WordPress——后者是许多博客等网站背后的内容管理系统。

Gorilla Cyber Security 首席执行官保罗·斯佩恩告诉 BBC，当你访问维基百科这样的网站时，PHP 就是收集你所需信息、并以你可以在网页上阅读的方式呈现出来的代码。

但由于存在一个漏洞，攻击者可能无需身份验证即可控制受影响的网络服务器并窃取敏感数据，所有基于 PHP 构建的系统都因此暴露在风险之中。

斯佩恩表示，AI 可能使此类攻击变得更容易、更迅速，他估计该漏洞可能影响“数以百万计”的网站。

阿德莱德大学的网络安全研究员吉尔·斯莱表示，如果黑客或国家将这一漏洞武器化并窃取网站上的私人数据，后果将是“灾难性的”。

哪些网站受到影响？

该警报已扰乱全球服务，从游戏平台到政府门户网站和在线论坛均受影响。

其中包括维基媒体——在线百科全书维基百科背后的组织——该组织作为预防措施下线了多个系统。

芬兰政府、爱丁堡议会和BBC已将相关网站和页面下线，荷兰网络安全机构也撤下了其网站。

图片来源，EPA

图片说明，

日内瓦大学等网站于周三下线

苏格兰多个公共机构，包括议会和卫生委员会，也已将网站下线。

一些专家警告称，该漏洞可能使维护不善的网站面临更大风险，尤其是那些属于安全资源有限的小型组织的网站。

新南威尔士大学悉尼分校的网络安全研究员萨利尔·坎赫雷表示，由于技术细节现已公开，未来几周可能会出现更多利用这些漏洞的尝试。

漏洞曝光后发生了什么？

PHP平台的开发者周三发布了补丁，以修复多年来潜伏在其软件中的漏洞。

该公司表示：“强烈建议所有PHP用户立即更新。”

世界各地的主管机构和安全组织也向网站运营者发出了同样的警告，要求他们保护好自己的平台。

美国国家安全局告知所有使用 PHP 的组织，如果无法立即修补漏洞，就应将系统下线，并补充说该漏洞可能提供一条“直接路径”来利用系统的数据库。

“这些风险足够严重，要求美国政府部门和机构立即修补，”该机构表示。

英国国家网络安全中心给出了类似建议，并告诉各组织检查是否存在“攻击者安装的后门”。

欧盟、新加坡和澳大利亚的对应机构也发布了类似警报。

日本首相高市早苗敦促人们检查其公开网站是否运行在 PHP 上。

图片来源：Bloomberg via Getty Images

图片说明：

日本首相高市早苗敦促人们检查其公开网站是否运行在 PHP 上

“我们紧急请求大家今晚采取行动，”高市在 X 上写道。

“如果难以及时应用修复补丁，暂时下线网站及类似措施可被视为降低风险的有效方式，”她说。

科技公司也在争分夺秒地保护其系统。

电子商务巨头亚马逊表示，在 PHP 问题公开披露前几天，它曾遭到多次攻击尝试。目前尚不清楚潜在攻击者是如何得知该漏洞的。

AI 如何发现薄弱点？

这些漏洞由安全公司 Calif 和 Wiz 的研究人员发现。

研究人员使用了先进的 AI 工具，这些工具能够分析代码并比人类或旧系统更快地发现缺陷。

“现代软件极其复杂，一些漏洞可能多年未被发现，”Kanhere 说。

“底层漏洞并不新鲜；改变的是我们发现它们的能力，”Kanhere 说。

有关此次发现的细节本周在网上泄露，迫使PHP平台的开发者匆忙发布关于这一安全漏洞及其巨大影响的公告。

OpenAI在一篇博客文章中表示，这一事件“凸显了AI如何能够发现安全漏洞”，但也凸显了它如何能够“帮助攻击者迅速开发攻击工具和漏洞利用程序”。

这家ChatGPT的开发商表示，它已发布一个用于检查PHP平台是否安全的程序。

昆士兰大学网络研究中心的Ryan Ko表示：“这些漏洞中有许多源于过去软件的构建方式，当时构建软件是为了实现功能，而并未将安全纳入考虑。”

人们可以采取哪些措施来保护自己？

网站所有者被敦促使用最新版本的PHP来保护其网站。

Spain表示，对大多数技术团队来说，PHP软件补丁只是一个小型、常规的修复。

美国国家安全局敦促在未来几周内“提高警惕”，并密切关注软件供应商的更新。

该机构表示：“及时应用与这些系统相关的补丁至关重要。”

Kanhere表示，责任主要在于网站运营者，但用户也应留意受影响服务发布的任何安全建议，例如更改密码的请求。

他还警告人们要警惕任何利用该事件引发的公众关注来实施网络钓鱼的信息。

King警告称，恶意网络行为者正在不断演变其策略

发布于10月10日

数据监管机构警告：确保AI的使用是安全的

发布于10月12日