PHP 高危漏洞信息于当地时间 20 日提前外泄，该漏洞已潜伏十余年，全球大量网站面临攻击风险，多国政府紧急关停网站避险。官方补丁已于 21 日上线。
据媒体当地时间周三报道，一项潜伏十余年的 PHP 漏洞今年 8 月先后被网络安全公司 Calif 和 Wiz 借助 AI 独立发现，各方随后在保密状态下合作修复近两个月。
但就在补丁发布前一天，也就是当地时间 20 日，漏洞信息在网上提前泄露，PHP 安全团队被迫确认并公布发布时间，黑客趁机抢在补丁上线前数小时发起攻击。
PHP 是一种服务端脚本语言，用于在服务器上动态生成网页内容，再发送给用户的浏览器。全球最常用的建站工具 WordPress 也基于 PHP 运行。
媒体援引电商网站安全公司 Sansec 分析指出，此次出问题的代码可追溯至 2012 年发布的 PHP 5.4.0 版本，且默认配置即存在风险，这意味着漏洞已潜伏十余年。
此次漏洞由 AI 参与发现。据网络安全公司 Calif 介绍，其作为 OpenAI 今年 6 月启动的 "Patch the Planet" 安全计划的一部分，借助 OpenAI 的 GPT-5.6 Sol 模型，于 8 月 1 日发现首个漏洞，8 月 11 日报告给 PHP 安全团队，8 月 21 日又报告了第二个漏洞。
据报道，几乎同一时间，谷歌母公司旗下网络安全公司 Wiz 也独立发现了问题。Wiz 称，其研究团队于 8 月 19 日借助自研工具 Wiz Atlas 以及谷歌 Gemini 4 Argon、OpenAI GPT-5.6 Sol 等 AI 模型发现首个漏洞，并于 8 月 24 日报告给 PHP 安全团队。
此后约两个月，各方在保密状态下合作修复。OpenAI 称，PHP 维护团队主导了修复与发布，Wiz、Cloudflare 等合作方则提供研究、技术支持与协调，以便在漏洞公开前准备好防护措施。
然而，计划在最后关头被打乱。当地时间 10 月 20 日，网上出现一则匿名帖子，称两项严重漏洞即将公布，帖子虽被删除，截图已在社交媒体上传开。PHP 安全团队当天发布预告，确认存在两项严重漏洞，并宣布于格林尼治时间 21 日 14 时发布安全更新。
修复补丁推出前，攻击已经开始。网络安全与云服务商 Cloudflare 在格林尼治时间 21 日 7 时 43 分就监测到首批攻击，比补丁发布早了数小时。
多国关停网站
媒体报道指出，为防止被入侵，多国赶在补丁上线前先行关闭网站。
据报道，荷兰国家网络安全中心率先下线自家网站，荷兰众议院、鹿特丹港及多家医院网站随后跟进。芬兰暂停了政府面向公众的全部网络服务，法国内政部也临时关闭了地方政府行政网站。德国数字部发言人表示，联邦 IT 服务机构 ITZBund 已关闭多个网站。在日本，多家大型网络服务进行了紧急维护。
PHP 最终于 21 日发布 8.5.12、8.4.27、8.3.36 和 8.2.35 四个修复版本。开发团队提醒，黑客利用这些漏洞无需密码即可远程控制服务器，更新是唯一安全的选择。
美国白宫官员表示，国家网络总监办公室正与联邦调查局等部门协调，推动联邦机构和关键基础设施完成修复。
网络安全股走高
这场危机也让网络安全公司站上风口。Cloudflare 的主要业务之一，是在网站和访客之间设置 " 防火墙 "，拦截恶意访问。其首席技术官 Dane Knecht 表示，公司已为全部客户设置拦截规则，但这只是临时措施。
受此提振，截止发稿，Cloudflare 股价一度涨超 8%，同业公司 CrowdStrike 和 Palo Alto Networks 盘中分别上涨约 6% 和 3.5%。
不过，媒体报道指出，风险远未解除。PHP 8.1 及更早的旧版本不会获得正式更新，官方仅提供需自行编译的源码补丁。
计算机取证专家 Hal Pomeranz 认为，大量无人维护的老旧网站可能永远不会更新，隐患将长期存在。
OpenAI 表示，PHP 漏洞只是其发现的多个重大漏洞之一，并预计类似发现将大幅增加。伦敦国王学院客座高级研究员 Lukasz Olejnik 则提醒，AI 同样可能帮助黑客在短时间内大规模发起攻击。
