2026年10月21日，一场数字危机席卷了全球互联网。从欧洲的芬兰国家土地测量局、法国政府门户网站，到全球航运枢纽鹿特丹港，乃至亚洲的日本三菱日联金融集团，无数平日里24小时不间断运行的官方机构与商业网站，在短短几十个小时内纷纷主动拉闸断网。让全球系统管理员不惜代价切断网线的罪魁祸首，是两个潜伏在互联网底层超过22年的高危安全漏洞。
美东时间10月21日上午10点前，负责维护全球最流行的网页编程语言之一的PHP基金会发布紧急安全更新，披露了编号为CVE-2026-109618和CVE-2026-109619的重大漏洞。这两个漏洞在通用漏洞评分系统中的危险等级高达9.2分（满分为10分），意味着攻击者无需任何账号密码，就能从千里之外直接夺取网站的最高控制权。PHP是支撑大半个互联网的基石语言，地震迅速演变成一场全球范围的数字保卫战，数以百万计的网站正在面临黑客大军毫秒级的自动化扫描与围猎。
文件上传通道里的无锁大门
这次引发全球恐慌的两个漏洞，之所以引得无数安全专家惊呼“这不是演习”，很大程度上是因为它们的触发条件极其简单，潜伏的位置又极其核心。
根据PHP基金会发布的官方安全公告，这两个漏洞影响所有用于处理网页请求的PHP安装环境。更令人倒吸一口凉气的是，漏洞的源头可以一直追溯到2004年7月发布的PHP 5版本。这意味着，这处致命的代码缺陷已经在互联网的底层架构中沉睡了22年之久，陪伴着全球互联网从早期的个人博客时代一路走到了今天的移动互联与人工智能时代。
长期从事安全与合规咨询的专家Davi Ottenheimer指出，互联网的大部分网站都运行在PHP之上，而这次出问题的地方位于文件上传接口，就好比一扇根本没有装锁的前门。
在正常的网站运行过程中，用户经常需要与服务器进行数据交互，比如在论坛上传一张头像，在政务网站提交一份电子表格，或者在电商平台发送一张商品退货图片。当用户点击“上传”按钮时，服务器端的PHP程序就会伸手来接收这些外部发来的数据文件。而此次曝出的漏洞，就发生在PHP接收并解析这些上传数据的最初阶段。
Google旗下的网络安全公司Wiz对这一漏洞进行了深入剖析，并将其攻击演示命名为“php2shell”。Wiz的研究人员在报告中写道，在许多情况下，攻击者想要利用这两个漏洞相当容易。黑客根本不需要知道自己正在攻击的是什么类型的网站，也不需要了解网站背后运行的具体业务软件。他们只需要精心伪造一个看起来只像普通上传请求的数据包，顺着网线发送给任何一台运行着PHP的服务器，就能直接触发漏洞，完成整个攻击过程。
一旦这个特制的数据包被服务器接收，接下来发生的事情对于网站管理员来说就是一场彻头彻尾的噩梦。
第一重威胁是远程代码执行。这个听来有些拗口的技术词汇，翻译成大白话就是“反客为主”。正常情况下，服务器只听从网站管理员的指令。但触发漏洞后，黑客发来的恶意数据包会被服务器误认为是最高级别的内部指令并加以执行。黑客借此可以在受害者的服务器上为所欲为，无论是植入勒索病毒、篡改网页内容、删除核心数据库，还是将这台服务器变成继续攻击其他网站的跳板，都在一念之间。
独立安全顾问Lukasz Olejnik对此发出了严厉警告。他认为，此次漏洞的影响极其巨大，数以百万计的系统暴露在危险之中。最糟糕的情况是，黑客可能会利用该漏洞编写出具有蠕虫特性的恶意软件。这类恶意软件一旦感染了一台PHP服务器，就会自动以这台服务器为基地，全自动扫描并感染互联网上的下一台PHP服务器。如果发生这种连锁反应，大半个互联网都可能在极短时间内陷入瘫痪。
第二重威胁则是敏感内存读取。服务器在运行时，内存里临时存放着大量机密信息。Wiz的研究团队发现，利用漏洞，攻击者即便不直接控制服务器，也能像开了透视眼一样，直接偷看服务器进程内存里的敏感数据。这些数据里往往包含其他正在访问的网站的用户密码、身份验证令牌、应用程序接口密钥以及服务器自身的安全证书。拿到了这些核心机密，黑客同样可以大摇大摆地接管整个系统。
撑起互联网半壁江山
为什么一个编程语言曝出漏洞，会让全球的政府机构、跨国银行和港口码头如此恐慌？因为，PHP在现代互联网世界中扮演着至关重要的角色。
如果把互联网比作一座大都市，用户每天在手机屏幕上看到的精美网页、酷炫动画，就像写字楼外墙的玻璃幕墙和霓虹灯，这些主要是由前端技术负责展示的。而在幕后，负责处理用户登录、计算购物车金额、调取新闻文章、连接后台数据库的钢筋水泥与水电管网，很大程度上则是由PHP搭建起来的。
PHP诞生于1990年代中期，经过30多年的演化，早已从一个简单工具成长为网页开发领域当之无愧的基础设施。有统计数据显示，在目前全球所有已知服务器端编程语言的网站中，超过70%的网站都在使用PHP。你可能从未听说过这门语言，但你每天的上网冲浪几乎绕不开它。
比如，全球最受欢迎的内容管理系统WordPress就是用PHP编写的。从个人博主的独立网站，到白宫官网、各大国际主流媒体的新闻门户，全球有超过40%的网站是直接架设在WordPress之上的。再比如，许多大型政企机构偏爱的网站管理框架Drupal，以及支撑起无数跨境电商与在线商城的Magento平台，它们的底层核心全都是PHP。此外，维基百科的底层同样流淌着PHP的代码。
因此，这场危机好比一家生产了全球70%防盗门锁芯的工厂，突然宣布自己在过去22年里出厂的所有锁芯都存在一个设计缺陷，小偷只需要用一根特定弯曲角度的铁丝就能轻松捅开。
更让安全团队头疼的是互联网的历史遗留问题。根据PHP基金会的官方公告，目前只有PHP 8.2及更新的版本仍在官方的维护周期内，能够直接获得官方发布的安全补丁。然而，由于PHP实在是太普及、太基础了，在互联网的各个角落里，存在着海量无人看管的僵尸网站和老旧系统。
很多中小型企业十年前花钱找外包公司做了一个官方网站，或者某个地方部门几年前上线了一个在线申报系统，这些系统一旦建成能够正常运转，往往就再也没有人去管它底层的PHP版本有没有升级。它们可能至今还运行着十多年前的PHP 5或者PHP 7版本。成千上万运行着老旧PHP版本的服务器，在这次风暴中几乎处于裸奔状态。
PHP基金会在安全公告中的用词极为绝对：目前没有任何完全有效的临时缓解措施，升级系统是唯一安全的选择。
AI猎手与黑客大军的毫秒级竞速
在这场围绕PHP漏洞展开的攻防战中，AI在漏洞的发现与利用两端，同时扮演了关键的加速器和放大器角色。
过去，要在数百万行历经20多年迭代的复杂代码中找出一个隐蔽的逻辑漏洞，需要顶级安全专家耗费数月甚至数年的时间，一行行地进行代码审计和枯燥的测试。而这一次，深藏22年的漏洞之所以会重见天日，AI立下了汗马功劳。
安全公司Wiz表示，他们的研究人员在挖掘这两个漏洞的过程中，部分借助了AI工具的力量。几乎在同一时间，OpenAI与安全公司Calif也发表声明称，他们独立发现了这些问题，并与相关方展开了合作。AI强大的代码理解能力与模式识别能力，让它能够敏锐地嗅出人类程序员在20多年前留下的微小疏忽。
然而，硬币的另一面同样令人胆寒。既然防御者可以用AI来找漏洞，攻击者自然也能用AI来造武器。
Lukasz Olejnik指出，所有人必须立刻打补丁，因为利用漏洞的速度可能极快，而且规模庞大。他特别强调，由于AI的介入，利用此类漏洞进行攻击的整个过程可能只需要1分钟左右。在AI的辅助下，黑客只需将官方发布的补丁代码与旧版本代码进行比对，AI就能在几十秒内自动分析出漏洞的具体位置，并自动编写出可以发起攻击的测试代码。
事实证明，专家的担忧在现实中分秒不差地应验了，甚至黑客动手的时间比官方公布补丁还要早。
早在10月20日，PHP的维护者们就在官方网站上发布了一则简短的“预告通知”。通知里虽然隐去了漏洞的具体技术细节和受影响版本，但明确预告了将在10月21日发布两个评分为9.2分的严重漏洞补丁，以便给全球的系统管理员留出准备时间。
然而，据报道，在官方正式公布之前，关于这两个漏洞的部分细节似乎已经在小范围内发生了泄露。
电商安全公司Sansec在补丁正式发布前就悲观预测，大规模的自动化攻击将在补丁发布后的15分钟内全面爆发。而互联网基础设施巨头Cloudflare观测到的真实网络流量，比这个预测还要惊心动魄。
Cloudflare首席执行官Matthew Prince于10月21日晚间在X上公布了一组触目惊心的监控数据。他表示，在漏洞细节正式向公众宣布之前的10个小时里，Cloudflare的全球网络就已经监测到了数千次试图利用该漏洞的攻击行为。这说明嗅觉灵敏的黑客已经提前拿到了情报并在暗中动手。
10月21日上午，官方补丁和漏洞细节正式公开后，攻击流量瞬间呈指数级狂飙。在公告发布后的45分钟内，攻击尝试次数猛增到数万次；2小时内突破了数十万次；当天晚间，全网的攻击尝试已达到了数百万次之多。无数的自动化黑客脚本正在互联网上不知疲倦地敲打着每一扇门，寻找那些还没来得及换锁的PHP服务器。
全球拉响最高级别数字防空警报
面对以毫秒为单位发起冲锋的黑客大军，全球各国的网络安全机构与大型企业展开了一场罕见的跨时区生死时速。
在官方补丁尚未发布，但预警已经拉响的时间窗口里，为了防止服务器在等待补丁的过程中被黑客攻破，许多机构做出了最果断也最无奈的决定：拔掉网线，主动下线。
英国国家网络安全中心在发布的紧急警报中明确给出了这一建议：各组织应准备好立即更新使用PHP的系统，如果无法立即完成修复，组织应考虑将系统下线，直到风险能够被完全消除为止。欧盟计算机应急响应小组和澳大利亚网络安全机构也向各自辖区内的IT团队发出了完全相同的警告，提醒大家做好在打补丁期间让网站暂时断网的准备。
于是在10月21日当天，欧洲多国出现了政府网站大面积“失联”的罕见景象。芬兰政府的多个官方网站，包括负责全国地理信息数据的芬兰国家土地测量局网站，全部处于无法访问的状态。法国的多家政府门户网站以及欧洲第一大港鹿特丹港的官方网站，也纷纷挂出了暂停服务的免战牌。
这场紧急防御战在10月22日全面蔓延至亚洲。
中国工业和信息化部紧急敦促各相关机构和用户立即对系统进行全面排查，并将PHP升级至最新的安全版本，同时建议加强网络安全监测，及时更换相关的账号、密码和密钥，以防黑客已经通过内存读取漏洞窃取了核心凭证。
亚洲多国政府也在同一天拉响了最高级别的网络安全警报。日本金融与政务系统双双采取了断臂求生的防御姿态。日本最大的金融机构三菱日联金融集团在10月22日宣布，由于采取紧急安全措施，暂时中止部分互联网金融服务。日本财务省也紧随其后，暂停了官方网站的部分内容展示与在线服务功能，以便技术人员在安全的隔离环境下修补漏洞。
韩国政府则直接上调了私营部门的网络安全警报级别，启动了针对该漏洞的国家级应急响应机制，严防黑客利用漏洞对韩国企业发起大规模入侵。
在大洋彼岸的美国，执法部门已经介入。美国联邦调查局网络部门助理局长Brett Leatherman在网络上向全球系统管理员发出了行动指南。他提醒道，如果在排查中发现了系统被入侵的迹象，管理员应当立即将该系统从网络中隔离，完整保存好网页服务器和PHP的运行日志，并向当地的FBI外勤办事处报告。这些宝贵的日志证据将帮助安全人员追踪幕后黑客的真实身份，并警告其他尚未受害的机构。
截至目前，各大云服务商、开源社区和企业IT部门的灯光彻夜长明。对于普通互联网用户而言，如果在接下来的一段时间里遇到某个常去的网站突然打不开，或者某项在线服务提示正在维护，不必惊讶。在这场波及全球的数字排雷行动中，每一次短暂的“服务暂停”，都是幕后的技术人员在为互联网的安全底座拧紧螺丝。而对于那些依然在互联网角落里运行着老旧代码的无数网站来说，与黑客自动化脚本的赛跑，才刚刚进入最残酷的阶段。
发表于 半小时前
|
查看: 5|
回复: 0
