2026年10月22日，一名程序员在西班牙格尔尼卡的RK Solutions软件开发公司编写PHP代码。 REUTERS – Vincent West
编程语言何以成为全球焦点？AI如何识别隐藏的安全隐患？
作为全球范围内应用最广泛的编程语言之一，PHP问世于20世纪90年代初期，由来自加拿大与丹麦的程序员拉斯穆斯·勒多夫所创建，其核心功能在于连接网站前端与后端数据库服务器。从处理用户提交的信息到管理账户登录验证，再到各类互联网服务的实现，PHP都承担了关键的后台支撑角色。本次爆出的严重安全缺陷颇为令人震惊——这一漏洞已隐存10年以上，却未被业界发现，直至最近方才被先进的人工智能技术所识别。
周三当天，统筹PHP开发工作的PHP基金会公开声明，宣布发现了两处关键漏洞，攻击者可利用这些漏洞实施服务拒绝攻击。派拓网络安全公司随即表示已识别出约2200万个易受攻击的在线平台，并对外发布了相应的补丁文件。Wiz安全公司的分析师萨吉·茨迪克在其发布的播客节目中强调，目前全球范围内大约七成网站的运营均基于PHP技术。
周三，OpenAI人工智能研究机构对外宣布，该漏洞群由网络安全公司Calif借助GPT-5.6 Sol模型最新版本的分析能力所揭示。在其网站刊登的声明中，该机构表达了对漏洞严重程度的评估——考虑到PHP技术的全球普及率，这被认定为近年度影响范围最广泛的网络安全事件。同时OpenAI也警示，人工智能虽能有效识别威胁整个互联网基础设施的安全隐患，但相同的技术能力也可能被恶意分子用于加速攻击手段的开发。除Calif外，谷歌旗下的Wiz安全部门也独立完成了上述漏洞的发现，但对所使用的具体模型技术未作披露。
人工智能：既是卫士，也是威胁
这确实体现了人工智能技术的两面性：既是福音也是威胁。据法新社消息，今年以来人工智能在漏洞识别领域实现了突破性进展，正因如此，Anthropic公司决定限制其Mythos模型的发布范围，原因是该技术可能对信息安全防护体系构成严重隐患。从双面角度看，一方面人工智能大幅增强了安全专家识别软件缺陷的能力，另一方面却缩短了企业和机构应对威胁时的反应窗口。在黑客的手中，这一工具能使其在更短的时间周期内对更多目标实施网络攻击。
值得注意的是，PHP漏洞事件发生在另一重大网络安全警报发布后仅一日，那便是关乎TLS加密协议的通报。TLS协议在现代互联网中肩负着至关重要的职责——维护通信过程的机密性与数据完整性。不幸的是，已有若干案例证明，攻击者可通过欺骗手段冒充合法用户，进而侵入通信链路并窃取敏感信息。Cloudflare云服务商的执行总裁Matthew Prince随即在社交媒体X上发表评论指出，在短短24小时内，两个影响范围极大的安全缺陷相继曝光，第一个（TLS漏洞）波及全球互联网使用者，第二个（PHP漏洞）几乎威胁到所有服务器的安全。
若黑客利用这些缺陷，将可以对众多网站发起入侵行动，其中既包括电商平台，也包括各类政府和公共部门的官方网站。
全球紧急响应
美国国防安全局与英国网络安全部门周三发布建议指导，要求所有基于PHP技术的网站应在软件更新前实施临时关闭，此举在全球范围内引发了接连的应急响应。在欧洲地区，根据法国网络信息安全部门的指示，许多在线服务平台已实施临时停运，涉及法国境内各省的官方网络门户。芬兰政府方面通报称其官方网站因此陷入完全或部分离线状态。与此同时，英国、德国、丹麦、荷兰及比利时等国的政府公共服务平台和地方机构网站也均已采取下线措施。
进入周四，亚洲各国政府部门纷纷启动了针对PHP安全威胁的应急检查工作。日本财政部门宣布对部分官方网站和线上服务功能进行临时关停，以推进防御系统的加固。中国工信部则通过公告敦促全国各类组织与用户迅速核查各自系统环境，并强制升级至最新的PHP安全补丁版本。在朝鲜半岛，韩国政府相应提升了全社会信息安全的防范等级，并针对该安全事件实施了跨部门的紧急协调机制，其主要考虑是对黑客可能发起大规模网络攻击的风险进行预防。
与时间赛跑的防御战
美国国家安全机构的分析表明，这类漏洞通常具有非常高的权限级别——攻击者可通过其绕过认证机制，直接进入服务器的核心文件结构与数据存储区域，从而在未经授权的情况下实现对这些关键系统的完全控制。
来自澳大利亚斯威本科技大学的网络安全专家迪米特里奥斯·萨兰帕西斯指出，网站临时停机并不等同于已被黑客入侵——这类行为实际上是为了在安全补丁部署阶段对系统实施保护而做出的一种谨慎决策。他进一步补充道，经过安全研究机构的跟踪发现，目前尚无证据表明有恶意分子正在积极利用这些技术进行网络攻击。
不过，路透社周四的报道揭示了另一面的情况：来自比利时的Aikido Security公司联合创办人Madeline Lawrence坦言，在官方补丁程序推出前，漏洞的技术细节就已被公之于众，随之而来的便是实际的网络攻击事件。
Lawrence表示，当前所有企业与机构都被卷入了一场与时间的竞赛——他们需在最短的时间内完成系统升级，以对抗那些利用先进AI技术所装备的网络犯罪分子，这正是眼下这场网络安全战役的核心所在。
云计算服务提供商Cloudflare的监测数据显示，随着全球各类机构与政府部门紧锣密鼓地部署防护补丁并采取预防性网站下线措施，针对这些系统的恶意网络访问尝试呈指数级增长，累计达到了数百万次规模。
业界分析认为，政府机关和大型媒体机构等有能力较快地完成防护升级，但中小型网站以及个人运营的在线平台的修复进度则可能滞后。信息安全专家警示指出，众多网站管理者和系统运维人员将对此次安全威胁一无所知，可能在接下来数天、数周乃至数月的时间里无法及时做出应对。这类脆弱的平台——如个人博客和小型网站——极有可能沦为黑客传播恶意程序、垃圾信息和网络威胁内容的跳板。
