PHP 曝出两个高危漏洞，大量网站与政府站点受影响

编程语言 PHP 中被发现的两个漏洞使互联网的大片区域陷入危险。

据一些统计，多达 70% 的网站在某种程度上使用了 PHP。维基百科、WordPress、Drupal 以及许多其他热门网站和平台都依赖它运行，其中包括 DeviantArt 和 4Chan——这两个网站在漏洞披露后曾暂时下线。就连政府机构也未能幸免。

但这并不是更新几台服务器那么简单。该漏洞存在于可追溯至约 20 年前的每一个 PHP 版本中，其中许多版本已不再受支持。这意味着一些不再积极维护的老旧网站和服务面临风险，除了永久关停之外几乎别无选择。

以下是安全公司 Wiz 所称“软件史上发现的最严重漏洞之一”的最新进展。

因近期披露的 PHP 漏洞而不得不下线（至少是暂时下线）的网站名单还在不断增加。所幸，互联网档案馆的运维团队迅速完成了修补、加固并恢复上线。数字图书馆员 Brewster Kahle 昨晚在 Mastodon 上发文致谢：“鉴于事态严重，昨晚许多许多机构里都有英雄。否则可能会没有灯光、没有交通信号，真正出大问题。”

《World Quest》和《Save My Demonic World》已运营十多年，但它们构建于较旧的技术之上，开发者表示这些技术无法更新以修补本周披露的这场灾难性 PHP 漏洞。由于该漏洞影响近 20 年的 PHP，互联网历史的很大一部分面临丢失的危险。据 Kotaku 报道：

CEO Matthew Prince 表示，在问题公开宣布前的 10 个小时里，该公司在 Cloudflare 网络上看到了数千次利用 PHP 漏洞的尝试。披露后的 2 小时内，这一数字跃升至“数十万”次攻击，而到昨晚已达“数百万”次。天哪。

AI 发现的两个漏洞是今天 4chan、DeviantArt、维基百科，以及那家街角酒吧发布人们狗狗照片的博客所面临重大问题的根源。这些“严重漏洞”是在 PHP 编程语言中发现的，而该语言支撑着互联网的很大一部分，包括任何基于 WordPress 构建的网站。但影响远不止于此。荷兰和芬兰的一些政府机构作为预防措施关停了自己的网站。X 上的 NSA Cybersecurity 账号建议各机构在“无法立即更新”时将其系统下线，英国国家网络安全中心也给出了同样的建议。据 Kotaku 报道，就连 Pokémon Home 和 Pokémon Champions 也被下线。

该漏洞其实并不算新。它已在 PHP 中存在约 20 年，但据安全公司 Wiz 称，利用它“需要一条异常复杂的步骤链，处于人类研究人员实际所能达到的极限边缘”。然而，强大的 AI 模型让把这类隐蔽缺陷转化为危险漏洞变得容易得多。

OpenAI 表示，加州的一位安全研究员使用 GPT-5.6 Sol 在攻击者之前发现了 PHP 漏洞利用方式，并分享了一款工具，让开发者可以检查自己是否在使用需要修补的潜在易受攻击的 PHP 版本。谷歌 Wiz 安全团队（该团队也协助识别了 PHP2Shell 漏洞利用）的联合创始人 Ami Luttwak 对《华尔街日报》表示，这是“有史以来发现的最严重的 AI 漏洞”。

广泛用于构建网站和 Web 应用的 PHP 编程语言的安全补丁已于今天发布，目标是修复两个关键漏洞——若不加以处理，它们可能对互联网造成严重破坏。在周二发布的一份公告中，PHP 开发者表示这些漏洞的严重性评分为 9.2（满分 10），一些网络安全机构鼓励无法立即应用修复的网站暂时将其系统下线。

安全补丁于美国东部时间今天上午 10 点发布，PHP 用户被敦促“在版本发布后尽快升级”。据网络安全公司 watchTowr 称，这些漏洞属于远程代码执行漏洞利用，据报道影响从 PHP 5 起的每一个 PHP 版本，可能使攻击者在受影响的服务器上运行自己的代码，从而恶意篡改网站、窃取数据等。