近日，一场波及全球互联网基础设施的重大网络安全事件，引发了国际社会高度关注。全球约七成网站的后台，用的都是同一种叫PHP的编程语言。近期，它被曝出存在严重安全漏洞：攻击者不用账号、不用密码，发送一条特制请求，就可能远程控制网站服务器。而这一漏洞已经潜伏了十几年，直到最近才被研究人员借助人工智能发现。

消息一出，欧洲多国政府网站紧急下线，全球攻击尝试飙升到数百万次，PHP官方连夜发布紧急补丁。人们不禁要问：这样的高危漏洞，为什么能隐藏这么久才被发现？这场席卷全球的安全事件，又给我们带来怎样的启示？

00:00/

00:00

PHP是一种广泛应用于网站和网络应用开发的编程语言，它专门负责网站里的“业务办理”。我们可以把网站想象成一家酒店：大家平时看到的网页，就是酒店大堂；PHP就像是酒店背后那套看不见的办理系统——订房、退房、登记信息，全靠它。近期，这个“酒店系统”出了大问题。PHP官方在21日发布紧急补丁，一次性修复两个严重漏洞，严重程度评分9.2分，满分10分。简单理解这两个漏洞就是：正常情况下，想进网站服务器，得有账号密码这把“钥匙”；可有了这两个漏洞，攻击者不用任何钥匙，发送一条特制请求，就可能远程操控服务器。最早发现漏洞的研究团队之一、网络安全公司Calif的研究员赖恩·奥斯汀是这样说这个漏洞的严重程度的。

赖恩·奥斯汀：我想你可以把它想象成你的房子，就像一座真实的房子，有后院，也许后面还有一个车库或其他附属建筑。在别人的网站上利用这个漏洞，本质上就像是进了前门，或者是房子的大门。现在他们就能进入房子的其余部分，可以在网络内部自由游走，还可以实施勒索软件攻击，以及做各种极其糟糕的事情。

据安全研究机构称，这个漏洞的根源，在PHP代码里已经存在了约14年——2012年发布的PHP5.4版本，就在受影响范围内。为什么这么长时间没人发现？公开报道的解释分技术和管理两层。技术上说，简单理解就是：这漏洞藏得深，程序正常运行根本碰不到；而且就算发现了，利用起来也极难，得把好几个缺陷串起来，还得根据不同网站单独设计攻击，过去只有顶尖高手才做得到。所以它潜伏了十几年，没人在意这个漏洞，也没人利用漏洞进行攻击。管理上，2024年PHP第一次外部安全审计时，工程师就察觉了苗头，但拿不出稳定可复现的攻击方法，又怕改动核心代码影响兼容性；PHP基金会自己也承认，修复方案讨论数月难以敲定，人手又不够，他们管这叫“结构性失败”。

直到今年8月，AI模型帮研究人员完成漏洞验证，修复才真正提速。可以说，这次能把这个“藏了十几年”的漏洞揪出来，人工智能功不可没。但在奇安信人工智能公司安全专家汪列军看来，这件事远不是“抓住一个漏洞”那么简单——它清晰地展现出，AI正在漏洞的“发现”和“利用”两端同时发力：既能帮防御者更快找到漏洞，也把攻击者的门槛降了下来。他认为，AI让攻防两端的门槛都变低了，全球面临的漏洞威胁只会越来越严峻，政企机构也得加快脚步，把安全检测变成常态。

汪列军：AI技术现在极大影响了漏洞的发现和利用的效率。以前，识别漏洞需要有非常强的专业知识，利用漏洞，也同样需要非常强的技巧。现在，AI相当于把这种能力平权了。一般的人利用AI技术，也能做到相同的事。

作为一种编程语言，PHP被全球约70%的网站使用，从政府网站、银行，到电商平台，再到大家日常关注的新闻网站。近期，欧洲多国政府网站紧急下线，日本部分金融机构也暂停了网络服务。国内方面，国家网络安全通报中心已经发布高危漏洞预警。记者从网络安全公司奇安信了解到，其监测平台发现，来自全球多个国家的近千个源IP，正在利用这个漏洞发起数万次攻击尝试，还确认了“在野利用”——也就是说，漏洞已经从纸面风险变成了真实威胁。与此同时，国内网络安全厂商也已经行动起来：360免费开放了安全体检服务，帮政企网站主动排查隐患；阿里云、腾讯云等也发布了防护指南，提醒用户尽快升级修复。

那么，普通人会受到影响吗？对此，中国社会科学院大学数字中国研究院特聘研究员刘兴亮表示，网站搭载存在漏洞的组件、网站遭遇攻击尝试、网站真的被攻破——这是完全不同的三件事。普通人访问过某个使用了PHP的网站并不代表着信息就会被泄露。不过刘兴亮也特别提醒，眼下有一件事值得留神：可能有人正借着“修漏洞”的名义，来骗取用户的密码和验证码。

刘兴亮：比如突然收到短信，说你的账号有风险，让你点链接修复，先别急着点，自己打开官方App去核实。如果平台确实通知你信息泄露了，需要改密码，就通过官方渠道改；如果好几个账号用了同一个密码，也要一起换掉。

要说这次事件带来的启示，绕不开两件事。第一件是人工智能：它既能帮我们发现漏洞，也让攻击的门槛变低了，网络安全攻防模式正在被AI改变；第二件绕不开一个词——开源软件。PHP就属于这样的软件：代码向全世界公开，谁都可以免费使用。全世界这么多网站都依托它运行，可真正维护它的核心开发人员屈指可数。这次漏洞修复历时两年，很大程度就卡在人手和投入上。刘兴亮指出，使用规模越大，维护的责任就越不能只压在几个人身上。

刘兴亮：软件可以免费用，安全维护可不能没人管、没人投入。很多人可能不知道，我们每天用的网上服务底下有不少开源软件在支撑。但真正维护它们的，可能就那么一小批人。大家都指望它稳定运行，那就不能只在出事的时候催他们赶快修。谁长期使用、谁从中受益，谁就应该承担相应的责任。

监制｜樊新征 张棉棉

审稿｜樊新征

记者｜韩萌