PHP2Shell漏洞引发欧洲政府网站下线，PHP基金会提前发布补丁

随着人工智能（无论是善意还是恶意）的使用以惊人速度增长，越来越多可能造成危害的响应案例被发现。

Pixdeluxe | E+ | Getty Images

周三，欧洲的政府网站被迫下线。人们对托管以 PHP 编写的网站的服务器漏洞的担忧不断蔓延。PHP 是全球最流行的服务器编程语言。

美国国家安全局警告数百万家机构立即安装补丁，否则就让服务器下线。这是人工智能时代最新的一起网络安全恐慌事件：过去黑客需要数周或数月才能发现的漏洞，如今几小时内就可能遭到利用。

网络安全初创公司 Tolmo 的研究员 Matt Suiche 表示，这种紧迫程度“非常新鲜”。

“一年前甚至还不存在这种情况，”他说。“如今之所以有这种紧迫感，确实是因为每个人都具备了 AI 增强能力，不仅是防御方，攻击者也是如此。”

发生了什么？

PHP 创建于 1990 年代，全球所有已知使用服务器端编程语言的网站中，略低于 70% 使用了 PHP。

8月中旬，人工智能公司 Calif 和 Google 旗下 Wiz 的研究人员发现，所有处理 Web 请求的 PHP 安装版本都存在漏洞。Calif 的研究人员使用 OpenAI 的 GPT‑5.6 Sol 进行发现，而 Wiz 团队则使用了其 Wiz Atlas 安全 AI 代理、Google 的 Gemini 4 Argon，以及 GPT-5.6 Sol。

这些被称为“PHP2Shell”的漏洞，允许未通过身份验证的黑客远程在任何 PHP 服务器上执行代码，使不法分子可能窃取数据并读取敏感信息。

PHP 基金会原计划于周四发布漏洞补丁。但有关漏洞的消息此前已在网上论坛泄露，随后 Calif 也意外发布了相关消息。该公司周二误发了一段概念验证视频，展示了一条漏洞利用链。

虽然这段视频最终被撤下，PHP 基金会还是加快了补丁发布进程，于周三美国东部时间上午 10 点提前 24 小时发布。此前不久，美国国家安全局发布了警告。

到那时，代码已经被发布到公共代码库 GitHub 上。GitHub 归 Microsoft 所有。该代码声称能够利用 PHP2Shell 攻击任何服务器。

立即观看

The PHP Foundation 执行董事 Elizabeth Barron 周三下午告诉 CNBC，该组织正在“密切监控事态”，但她指出，目前“没有证据表明存在任何可行的漏洞利用代码，只有不完整、误导性且无法运行的生成代码”。

不过，Suiche 表示，Tolmo 团队不到一天就编写出了可运行的漏洞利用代码。

“借助 AI，我们相对迅速地就完成了本地复现，”他说，并补充称，在如今这些强大的 AI 模型出现之前，他们的团队需要“好几周”才能完成。

Amazon Threat Intelligence 周三报告称，其在周六于 MadPot 遥测网络上发现了一次针对 PHP2Shell 的漏洞利用尝试。该网络专门用于识别针对数字诱饵的连接尝试。

“结构性失效”

这些漏洞已经存在很久了。两年前，时任 Quarkslab 工程师、如今担任 Tolmo 产品安全工程师的 Mihail Kirov 表示，他曾是一个团队的成员，该团队发现了一个与 PHP2Shell 根源相同的漏洞。

Kirov 表示，当时有人提醒 The PHP Foundation 注意其系统中的这个漏洞，但始终没有推出修复方案。该基金会周三在一篇博客文章中承认，延迟是“结构性失误，既源于安全团队的决策流程，也源于其资源不足”。

那时，大语言模型还没有如此普及。Calif 的研究人员手边有了强大的新技术。他们发现了两个漏洞，安全严重性评分均为 9.2/10。

谈及 Calif 团队时，Kirov 表示：“他们证明了，如今到了 2026 年，借助大语言模型，事情可以进展得非常非常快。其中一个原因是，LLM 能让你探索许多不同的角度。”

立即观看

专家表示，即使组织为漏洞打上补丁，也很可能永远无法确定数据是否遭到泄露。

网络安全服务提供商 Ox Security 的 CEO Neatsun Ziv 表示，除非组织在遭受攻击前就预先安装了应用安全平台，否则就无法查看服务器上收到的可疑请求。

Suiche 表示，只有当公司的宝贵数据“后来在暗网上被出售”时，公司才会知道自己遭到了攻击。他说，这就是“昨天的现实，也仍然是今天的现实”。

Suiche 表示，PHP 是一种老旧的服务器语言，因此许多用户可能没有采取先进的安全措施。

他说，市政府和其他机构经常使用 PHP，而且“10 年来都没有更新过网站”。

他说：“这些人掌握着大量关键数据。”

行业专家表示，自Anthropic今年早些时候发布强大的 Mythos 模型以来，网络安全领域发生了巨大变化。Claude 的开发者于 4 月向少数公司和政府机构提前发布了 Mythos，以确保在大规模发布前安全措施足够完善。

如今，许多不法分子都能使用 Mythos。

Ziv 表示：“过去，不法分子，也就是威胁行为者，找到新的漏洞利用方法并将其用于整个互联网，通常需要几周时间。后来缩短到了几天；从 2026 年 4 月的 Mythos 时代开始，又缩短到了几小时。”

观看：AI 助力的网络攻击时代已至

立即观看