OpenAI 发现 PHP「世纪漏洞」，全球 70% 网站都危险了

「PHP 是世界上最好的语言」……但 10 月 21 日夜晚，却成了所有 PHP 运维人员的噩梦之夜。

两天前，代号 PHP2Shell 的两个 PHP 高危远程执行漏洞信息意外泄露，表明在最危险的情况下，攻击者可以通过 PHP 的漏洞，在服务器执行任意代码。

漏洞「偷跑」，也倒逼 PHP 基金会在昨晚 10 点提前发布正在筹备的紧急安全补丁。

你可能听说过但不熟悉 PHP，但只需要知道，全世界约有七成网站后台都使用了这项技术，使用比例高达 92% 的日本，更是成了「重灾区」。

于是，从昨晚开始，无数网站运维人员经历了夺命连环 call，高市早苗亲自发文敦促网站管理者打补丁，半个欧洲的政府与学术机构紧急「拔网线」，二次元熟悉的 niconico、pixiv，乃至《赛马娘》《碧蓝幻想》和任天堂相关游戏服务也纷纷下线，开始了归期未定的漫长升级。

甚至连寿司郎，也宣布小程序暂停运行，恐怕要到明天下午，我们才能重新用上小程序预约。

和很多类似的技术一样，PHP 是一种「不出圈」但相当重要的互联网基础设施。

想象你登录一个电商网站，下单买了一本书。这个过程中你看见的只是前端的网页，但服务器其实在后台处理了诸如验证密码、检查库存、查询订单、生成网页等动态功能。

根据统计，目前有 69.4% 的网站后端用到了 PHP，WordPress、Drupal、Joomla 等流行的网站管理系统都建立在 PHP 之上，维基百科使用的 MediaWiki，同样主要由 PHP 编写。

但就像曾经种满全球的大麦克香蕉被黄叶病团灭一样，普遍性本身也是一种脆弱性：如果 PHP 在底层上出现安全问题，可想而知，几乎全球的网站都会受到牵连。

这次爆出的两个漏洞，对应编号分别为 CVE-2026-109618 和 CVE-2026-109619，PHP 基金会给它们定下的严重程度评分达到 9.2 分（满分 10 分）。

举个不完全准确的比喻：假设 PHP 是麦当劳中央厨房，后厨工作人员会根据显示屏上的下单情况来制作餐食。而最新曝光的内存管理漏洞，就相当于让黑客有机会修改显示屏内容，让后厨给自己做出源源不断的「自助餐」。

这里的「自助餐」内容，可以是让服务器乖乖交出存储的用户资料，也可以是修改新闻网站的内容，或者将电商网站的收款信息改成黑客的账户；进一步地，往服务器植入勒索软件或以此为跳板入侵更大的系统也不在话下。

只要条件合适，这些 RCE（远程代码执行）漏洞，几乎可以让黑客为所欲为。

这也是为什么，在安装好补丁之前，用到 PHP 的网站与服务宁愿彻底下线，不给攻击者留下可乘之机。

但官方发布补丁，也不代表万事大吉。一方面，不是所有网站管理者都有时间、有意愿去更新系统；另一方面，基建上的惯性导致目前世界上还有近半网站使用的是已经结束了支持周期的旧版 PHP，而这些旧版分支从一开始就得不到补丁。

也就是说，如果不彻底升级 PHP 版本，这些网站从今天开始几乎都是处于「裸奔」状态。

早在补丁推送之前，思科、WatchTowr 和 360 等公司的安全团队已经根据公开信息复现了攻击流程，而 Cloudflare 也开始观察到小规模的攻击行为。

可以预想，在主要公司密锣紧鼓地升级的同时，还有很多潜在的攻击者正在搜寻那些怠于维护的网站，随时准备分食服务器上潜藏的资源。

值得注意的是，根据官方复盘，这起事件中 AI 扮演了相当核心的角色。

当时，PHP 基金会启动了一次外部安全审计，而在检查审计结果时，PHP 维护团队的成员开始注意到，在内存不足的情况下 PHP 会存在安全隐患。但由于没有找到稳定可复现的攻击方式，加上修复核心代码可能会影响兼容性，修复工作一拖再拖，始终没有提上日程。

今年 6 月，OpenAI 发起了一项名为「Patch the Planet」（修复星球）的安全项目，这个颇有「万物皆可 Patch」气质的计划找来了多家安全公司，合作利用 AI 发现并报告开源项目的漏洞，作为开源项目的 PHP 自然也被列入研究目标。

在 AI 的助力下，不到两个月时间，合作安全公司 Calif 研究人员就找到了利用 2024 年那个漏洞执行远程攻击的方式。

几天后，另一支研究团队 Wiz Research 也借助 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 几个模型，独立发现了相同的漏洞。

根据 Wiz 的公告，PHP 这两个漏洞堪称「软件历史上最严重的漏洞之一」，但利用这些漏洞的复杂程度「几乎超出了人类研究人员能够实现的范围」。

换句话说，PHP 这辆「老爷车」之所以能拖着严重的底层缺陷如常运转，很大程度上要归功于人类攻击者的能力不足。但前沿 AI 赋予的智能，让原本不可能的攻击成为了现实。

早在 8 月发现可行的攻击方式之后，PHP 技术团队就将修复漏洞放到了最高优先级，联手 OpenAI 和多家安全公司组成的联盟秘密开发了相关补丁，因此才能在漏洞信息偷跑后第一时间释出补丁。

但很显然，没有理由总是「正义联盟」胜出。OpenAI 在官方博客中也提醒：

尽管这些漏洞影响重大，但它们只是我们已经发现并正在着手修复的多个重要漏洞中的一部分，而我们预计，未来几个月类似发现的数量将大幅增加。

PHP2Shell 并不是第一次系统基建出现问题，进而影响大量互不相关的服务的事件。