本周三(21日)，全球多家政府机构与企业关停了网站，原因是编程语言PHP曝出两处高危缺陷。互联网上大量网站都依托PHP搭建。

不少主流网页建站平台底层都采用PHP，因此这两处缺陷可能波及海量网站，电商、新闻媒体、政务服务网站均在受影响范围内。

以色列维兹公司是发现漏洞的安全公司之一。据该公司估算，全球约70%的网站使用PHP。该公司称，这是“PHP史上最严重的漏洞，甚至可以列入软件史上最高危的漏洞”。

美国国家安全局敦促各机构立即打补丁，或将存在漏洞的系统下线。

美国安局在社交平台X上发文表示，这些缺陷“往往能让攻击者直接访问服务器文件系统或数据库”。黑客无需密码即可利用漏洞控制网页服务器。

PHP基金会的安全工程师沃尔克·杜施在接受美国《华尔街日报》采访时称，这是十多年来PHP遭遇的最严峻安全问题，其影响堪比2014年引发全球补丁潮的“心脏出血漏洞”。

PHP开发团队已于周三发布修复程序。

PHP基金会在博客中强调：“只要你的服务器运行PHP，就必须立刻升级。”

多国大批网站紧急下线

早在8月，美国卡利夫网络安全公司就在一项由开放人工智能研究中心(OpenAI)资助的PHP代码审计项目中，借助OpenAI的GPT-5.6 Sol模型发现了这些缺陷。

谷歌旗下的维兹公司则在数周后独自发现了漏洞，其使用的工具包括谷歌“双子座4号氩气”模型以及GPT-5.6 Sol。

漏洞通过私下渠道上报给了PHP开发团队，在准备修复更新阶段一直保密。

但在补丁原定发布前一天(也就是本周二)，漏洞细节在网上遭到泄露。这促使大量网站紧急下线避险，以防黑客利用漏洞实施攻击。

法国内政部称，应法国国家网络安全局要求，包括巴黎警察局官网在内的一批地方政府网站临时关闭。

据荷兰广播节目公司报道，荷兰国家数字身份服务网站、荷兰众议院官网、国家网络安全中心网站均预防性下线。

据澳大利亚广播公司报道，澳大利亚通信管理局表示，该局的cyber.gov.au等政务网站受到漏洞影响。

运营维基百科的维基媒体基金会提示用户，其站点可能出现服务中断。基金会主动关停多项配套服务，直至完成安全修复。

游戏资讯网站小宅网站称，多款宝可梦应用于周三紧急停服维护。热门日系游戏“赛马娘”的运营方也公告，正在维护服务器以修复PHP漏洞。

AI“双刃剑”效应凸显

这次事件发生在人工智能(AI)模型能力日益强大、软件安全漏洞披露数量激增的背景下。2026年新发现的漏洞数量预计将在去年创纪录总数基础上近乎翻番。

OpenAI在X上说，上述漏洞是“近年来影响范围最大的安全隐患之一”，并称这次事件标志着“一个新阶段的到来，即AI能够发现具备全网级破坏力的安全缺陷”。

据西班牙《经济学家报》网站10月21日报道，由于发现高危计算机安全漏洞，欧洲多国政府网站21日被迫下线，以便开展漏洞修复工作。这一安全隐患，依靠AI工具才得以曝光。

支撑全球70%网站运行的脚本语言PHP的开发团队21日发布了一则严重安全警报，警告黑客有可能控制任何搭载该技术的系统。名为“PHP2Shell”的漏洞包含两处安全缺陷。一旦被攻击者熟练利用，网络黑客可向服务器发送指令，执行未授权操作。

维兹公司联合创始人阿米·卢特瓦克评价，“PHP2Shell”是“迄今为止依靠AI发现的最严重漏洞”。这位技术专家坦言，漏洞本身极其复杂，如果没有AI，人类根本无法发现它。这件事也体现出，当下这项技术在应用中既带来威胁，又提供解决问题的方案。

防御者与黑客展开竞赛

据美国《华尔街日报》网站10月21日报道，AI先是预示了“漏洞末日”的到来，如今又触发了一场全员出动的网络紧急事件。

PHP的开发者周三披露了一个严重的安全问题。

该漏洞被命名为PHP2Shell，属于PHP管理计算机内存方式上的一类缺陷。黑客可通过多种方式加以利用，有些只需几秒，便可借此在任意未打补丁的网页服务器上运行未经授权的软件。

卡利夫网络安全公司的研究员瑞安·奥斯汀在8月份对PHP源代码进行审计时，借助OpenAI最先进模型之一GPT-5.6 Sol的帮助发现了漏洞。OpenAI出资进行了这次审计及其他审计，这是AI公司帮助开源项目解决软件漏洞(如今正被AI系统不断发现)所做努力的一部分。

这类漏洞多年来一直隐藏在PHP源代码中。卡利夫网络安全公司首席执行官杨蔡(音)说，早在几十年前，就有一位安全研究员将其标记为问题区域，但由于被认为极难被黑客利用而被遗忘。

但AI找到了方法。奥斯汀发现，仅向运行PHP的服务器发出几十次请求，就能控制在计算机内存中运行的代码。在较小的系统上，攻击只需几秒钟；在较为复杂的系统上，则可能需要数小时。

8月11日，杨蔡致电管理PHP项目的安全工程师沃尔克·杜施。杨蔡说：“这里有个严重的问题。”

很快，一个由安全研究员和软件工程师组成的非正式工作组形成了。他们与软件发行商和安全公司合作，想办法为PHP2Shell打补丁，防止其被利用。

谷歌旗下维兹网络安全团队的研究人员很快联系了他们，带来了他们独立发现的漏洞利用方法。OpenAI研究团队也有相关发现。

修补工作规模浩大。需要修复的文件接近200个，开发人员在此过程中编写了超过1万行代码。

安全补丁的发布，标志着防御者与黑客之间一场竞赛的发令枪打响。防御者须测试并安装软件补丁，而黑客则把补丁当作指南来寻找新漏洞。