PHP：今日令全网网站瘫痪的三个字母
内容提要
PHP被发现存在两个约20年的严重漏洞，可导致未授权远程代码执行，攻击者能完全控制服务器并窃取密码和数据库。约69%的网站使用PHP，4chan、维基百科等受影响，多国机构建议无法立即更新时下线系统。网站运营者应尽快升级PHP，8.1及更早版本无官方修复；托管用户应联系服务商确认补丁。
延伸解读
AI让“理论漏洞”变成现实威胁
文章指出，这两个PHP漏洞已存在约20年，但此前利用它需要“极其复杂的步骤链，处于人类研究者实际能力的边缘”。如今AI模型能更容易地将这种晦涩漏洞转化为危险攻击。OpenAI称其AI安全团队用GPT-5.6 Sol发现了其中一个漏洞，谷歌旗下Wiz也借助AI独立发现并报告。这意味着AI在降低漏洞利用门槛的同时，也改变了老旧漏洞的风险等级。
影响面为何如此之大
PHP被W3Techs统计为服务端编程语言中占比69.3%的语言，WordPress等建站系统都依赖它。文章提到4chan、DeviantArt、维基百科等站点受影响，荷兰和芬兰部分政府机构预防性下线，甚至Pokémon Home和Pokémon Champions也被下线。Cloudflare CTO称已看到早期攻击出现。这说明漏洞波及的不只是小众站点，而是大量日常访问的服务。
普通用户能做什么、不能做什么
文章明确说，作为普通用户“做不了太多”，因为漏洞影响的是运行PHP的服务器，不一定直接针对用户。但被攻陷的站点可能被用来传播恶意软件或窃取数据。如果格外谨慎，可以在访问常用网站前查看其社交账号是否发布了更新。对网站运营者而言，则需检查PHP版本，托管用户应联系服务商确认补丁部署时间。
不同建站方式的应对差异
文章区分了几类情况：使用Squarespace或Wix的用户不受影响，因为这些平台不支持PHP；而Hostinger、GoDaddy、Bluehost等托管服务的客户需更谨慎。GoDaddy建议所有使用PHP的站点都应假定受影响并尽快升级到修复版本，且PHP 8.1及更早版本已无官方支持，不会再有官方修复。若站点涉及交易或存储敏感数据，最好在主机商打补丁前先下线。
Q&A
PHP 最近出了什么严重漏洞？
PHP 被发现存在两个严重漏洞，可导致未授权远程代码执行。攻击者能完全控制服务器，窃取密码、API 密钥、证书和数据库等敏感信息。这两个漏洞已存在约 20 年，但如今借助 AI 变得更容易被利用。
哪些网站和服务受到了 PHP 漏洞影响？
约 69.3% 的网站使用 PHP，包括 WordPress 构建的站点、维基百科、4chan、DeviantArt 等。荷兰和芬兰的一些政府机构已预防性下线网站，Pokémon Home 和 Pokémon Champions 也被下线。Cloudflare CTO 表示已看到早期攻击。
这两个 PHP 漏洞是怎么被发现的？
OpenAI 的 AI 安全团队 Calif 使用 GPT-5.6 Sol 发现了其中一个关键漏洞，Google 旗下的 Wiz 则独立使用 AI 发现并报告了漏洞。PHP 基金会称其中一个漏洞的利用方式在 2024 年曾被理论化，但当时未找到具体攻击向量。
作为普通用户，我需要担心这个 PHP 漏洞吗？
普通用户能做的有限。漏洞主要影响运行 PHP 的服务器，不直接针对用户，但可能利用被攻陷的网站传播恶意软件或窃取数据。如果特别谨慎，可以在访问常用网站前查看其社交账号是否发布了更新通知。
如果我有网站，应该怎么处理这个 PHP 漏洞？
首先检查网站使用的 PHP 版本。使用 Squarespace 或 Wix 等不支持 PHP 的服务则不受影响。使用 Hostinger、GoDaddy、Bluehost 等托管服务的用户应尽快更新到修复版本；PHP 8.1 及更早版本已无官方支持，需升级到新版本。托管用户应联系服务商确认补丁部署时间。如果网站涉及交易或存储敏感数据，最好在补丁部署前暂时下线。
为什么这个存在了 20 年的漏洞现在才被重视？
该漏洞在 PHP 中已存在约 20 年，但利用它需要“异常复杂的步骤链，处于人类研究人员实际能力的边缘”。强大的 AI 模型使得将这种晦涩的漏洞转化为危险攻击变得容易得多，因此现在才被大规模发现和利用。
