PHP：三个小字母如何在网络世界掀起轩然大波
内容提要
PHP语言曝出两个严重漏洞（CVSS 9.2），影响约20年来几乎所有版本，全球约70%网站受波及，维基百科、WordPress、4chan、互联网档案馆及多国政府网站一度下线。漏洞可致远程代码执行，由AI辅助发现，补丁发布前已遭利用，Cloudflare称攻击达数百万次。部分老旧服务无法更新，只能永久关闭。
延伸解读
AI 让“理论漏洞”变成现实威胁
文章指出，该漏洞在 PHP 中已存在约 20 年，但利用它需要“异常复杂的步骤链”，处于人类研究者实际能力的边缘。然而，强大的 AI 模型降低了将晦涩缺陷转化为危险漏洞的门槛。OpenAI 称有安全研究员使用 GPT-5.6 Sol 在攻击者之前识别了漏洞，Wiz 联合创始人更称这是“有史以来发现的最严重的 AI 漏洞”。这意味着 AI 在安全攻防中的作用正在从辅助工具变为关键变量。
补丁发布前已被利用，暴露响应窗口极短
亚马逊威胁情报团队在 10 月 17 日通过诱饵系统发现了 PHP2Shell 利用尝试，而补丁直到 10 月 21 日才发布。Cloudflare CEO 表示，在漏洞公开前的 10 小时内已看到数千次利用尝试，公开后 2 小时跃升至数十万次，到当晚达到数百万次。这说明即使补丁迅速推出，攻击者也可能早已行动，组织不能仅依赖“补丁发布后再更新”的被动策略。
老旧系统无法修补，互联网历史面临永久丢失
由于漏洞影响近 20 年的 PHP 版本，许多不再维护的老旧服务无法更新。两款运行超过十年的日本手机游戏 World Quest 和 Save My Demonic World 因底层技术无法修补而宣布关停。文章警告，这类服务永久下线可能使大量旧互联网内容从公众视野中消失，其中一些本就已开始退化。这提醒我们，技术债务的代价不仅是安全风险，还包括数字文化遗产的不可逆损失。
Q&A
PHP漏洞影响了哪些知名网站？
维基百科、WordPress、Drupal、DeviantArt、4chan、互联网档案馆以及部分荷兰和芬兰政府机构网站都受到影响，甚至Pokémon Home和Pokémon Champions也被下线。
PHP漏洞的严重程度如何？
两个漏洞的CVSS严重性评分为9.2（满分10），被安全公司Wiz称为“软件史上最严重的漏洞之一”，可导致远程代码执行。
为什么有些网站无法通过打补丁修复漏洞？
漏洞存在于过去约20年的几乎所有PHP版本中，许多老旧版本已不再受支持，一些老旧网站和服务无法更新，只能永久关闭。
这个PHP漏洞是如何被发现的？
漏洞由AI辅助发现，安全研究员使用GPT-5.6 Sol识别了PHP漏洞，Wiz联合创始人称这是“有史以来发现的最严重的AI漏洞”。
漏洞在补丁发布前是否已被利用？
是的，亚马逊威胁情报报告称在补丁发布前几天就发现了PHP2Shell漏洞利用尝试，Cloudflare CEO表示在漏洞公开前10小时内看到数千次利用尝试，公开后2小时内激增至数十万次，到晚上达到数百万次。
哪些机构发布了应对PHP漏洞的建议？
美国国家安全局（NSA）网络安全账号和英国国家网络安全中心（NCSC）建议，如果无法立即更新，组织应将系统离线。
