程式语言PHP暴雷 引全球预防性下线修复潮

全球广泛使用的程式语言PHP被人工智能发现存在重大安全漏洞后，世界各地的公司和政府数千个网站被迫下线修复补丁。从东京到赫尔辛基，银行、航空公司、铁路、税务和政府服务的紧急关闭，标志着维持网络运行的数十年编程工具面临的最严峻考验之一，也暴露了政府和公司对鲜有人理解的代码的依赖程度之深。

什么是PHP？漏洞如何被AI发现？

PHP是一种在全球网站广泛使用的程式语言，由加拿大-丹麦程序员拉斯穆斯·勒多夫（Rasmus Lerdorf）于20世纪90年代初创建，能够在网站与托管数据库的服务器之间建立连接。主要负责网站后端运作，例如处理使用者输入资料、会员登入及各项线上服务。这次被发现的重大安全漏洞，据称已存在超过10年却一直未被察觉，直到近期才由先进人工智能（AI）技术发现。 

周三早些时候，负责协调PHP开发与更新的PHP基金会发布了一份公告，披露了两个安全漏洞，利用这些漏洞可能导致拒绝服务攻击。网络安全公司派拓网络（Palo Alto Networks）周三表示，已发现2200万个存在这些漏洞的平台，并发布了修复补丁。网络安全公司Wiz的研究员萨吉·茨迪克（Sagi Tzadik）在该公司周三发布的一期播客中表示：“全球约70%的网站都运行在PHP上。”

在周三，人工智能研究公司OpenAI 解释称，这些漏洞是由网络安全公司 Calif 通过使用其最新模型之一 GPT-5.6 Sol 发现的。该公司在其网站上发布的一则声明中指出， “鉴于这些漏洞的严重性以及PHP的广泛应用，我们认为这是近年来影响最大的（网络）安全问题之一。”  OpenAI补充指出，“这表明人工智能如何能够揭示出影响整个互联网的漏洞”，同时警告称，同样的能力“现在可能帮助黑客快速开发攻击方式”。除Calif外，谷歌旗下网络安全公司Wiz也独立发现了这些漏洞，但未透露具体使用了哪些模型。

人工智能能发现漏洞 但也能被黑客利用

的确可以说，成也人工智能，败也人工智能。据法新社报道，普遍认为，今年人工智能在这一领域取得了重大突破，以至于Anthropic决定不广泛推广其Mythos模型，认为该模型对网络安全构成过高风险。人工智能的应用不仅成倍提高了发现软件漏洞的潜力，同时也显著缩短了面临攻击的各方做出反应的时间。借助人工智能，黑客可以在极短的时间内攻击比以往多得多的目标。

周三发生的这起事件紧随周二发布的另一起关于TLS加密协议的警报之后。TLS协议旨在保障互联网通信的机密性和完整性。已有多个案例表明，黑客可以冒充用户并解密通信内容。网络安全服务提供商Cloudflare的首席执行官Matthew Prince在X网站上回应道：“24小时内，两类极其严重的漏洞被曝光。”他警告说：“第一类漏洞（TLS）影响所有在线用户。第二类漏洞几乎影响所有服务器用户。”

此次发现的漏洞可能使黑客得以入侵大量此类网站，从在线商店到公共服务网站均可能受到影响。

全球行动

美国国家安全局（NSA）和英国国家网络安全中心（NCSC）周三建议，所有使用PHP编程协议的网站在更新软件之前应先断开连接后，引发全球的行动。在欧洲，应法国信息系统安全局（Anssi）的要求，大量平台已被暂停运行，其中包括法国所有省的官方网站。 在芬兰，政府门户网站表示，“政府网站（已）完全或部分无法访问”。英国、德国、丹麦、荷兰和比利时的公共服务及地方政府平台也已下线。

周四，亚洲多个国家政府下令对与 PHP 漏洞相关的网络安全问题进行检查。比如，日本财务省也暂停了部分网站内容和在线服务，以实施安全措施。中国工业和信息技术部敦促各组织和用户立即检查其系统，并升级到最新安全版本的PHP。韩国政府提高了私营部门网络安全警戒级别，并针对该漏洞启动了紧急应对措施，理由是担心黑客攻击的风险增加。

争分夺秒升级系统

据美国国家安全局称，已发现的漏洞“往往能直接访问服务器的文件系统或数据库”，这可能使黑客无需输入密码即可接管这些服务器。

据澳大利亚斯威本科技大学的迪米特里奥斯·萨兰帕西斯解释道： “网站下线并不一定意味着它们遭到了黑客攻击。这可能是为了在应用安全更新期间保护系统而采取的一项负责任的措施。”萨兰帕西斯指出：“到目前为止，安全研究人员发现尚无人利用现有技术主动发起攻击。”

 但路透社周四报道，比利时网络安全公司 Aikido Security 的联合创始人 Madeline Lawrence 表示，在修复程序完成之前，漏洞的细节就已经公开，此后也出现了攻击事件。

她说：“各公司都在争分夺秒地升级系统，以抵御那些利用人工智能技术进行攻击的攻击者。这就是这场竞赛的全部意义所在。”

据云服务公司 Cloudflare称，随着公司和政府部署补丁程序并暂停网站以防万一，黑客攻击尝试激增至数百万次。

有分析指出，从政府机构到媒体等大型组织，应该能够相对迅速地修复其网站，但其他网站可能仍存在漏洞。业内专家警告  “某些网站、系统和个人将完全不知道发生了什么，并在接下来的几天、几周甚至几个月里一直处于蒙在鼓里的状态。” 这可能包括由个人管理的博客或其他网站，这些网站可能会被用于传播病毒、垃圾邮件或恶意内容。