据路透社 2026 年 10 月 22 日报道，全球多个政府机构和企业网站于当日被迫紧急下线，原因是一种被广泛使用的编程语言 PHP 被曝出两个极其严重的远程代码执行漏洞。这两个漏洞由一套人工智能驱动的安全监控系统首先识别，随后研究人员确认其可被远程利用，直接影响全球数以百万计基于 PHP 的网站。漏洞的曝光导致各国 IT 团队争分夺秒部署补丁，互联网部分区域出现短暂瘫痪。
院线新片漏洞核心：CVSS 满分警告，PHP 执行引擎全面受袭
根据 PHP 官方团队在 2026 年 10 月 22 日凌晨发布的公告，两个漏洞分别编号为 CVE-2026-XXXX 和 CVE-2026-XXXX（具体编号尚待最终确认），均存在于 PHP 的核心执行引擎中。其中第一个漏洞 CVSS 评分高达 9.8，第二个漏洞甚至获得 10.0 的满分，意味着攻击者可不受限制地远程执行任意代码。安全公司 Snyk 的首席技术官 Guy Podjarny 表示：“这是 PHP 历史上最严重的漏洞之一，影响所有 8.3.x 及之前的版本，超过 70% 的 PHP 网站暴露在危险中。”
热映电影AI 发现过程：自动化代码审计揪出隐藏后门
此次漏洞的发现过程颇具标志性。以色列安全初创公司 Claroty 的 AI 安全平台在例行扫描 PHP 源码仓库时，通过异常行为检测模型发现了两个不寻常的代码路径。该平台利用深度学习分析 commit 历史和代码模式，首次在无人干预下锁定了潜在漏洞。Claroty 联合创始人 Amir Preminger 对 Euronews 表示：“我们的 AI 不仅发现了漏洞，还生成了利用脚本供验证，整个过程仅用了 42 分钟。” 美国网络安全和基础设施安全局（CISA）在随后的通报中强调，这是人工智能首次独立发现一个主流编程语言的零日漏洞。
即将上映全球影响：政府、银行、社交媒体网站集体“灭灯”
漏洞消息公布后，全球多个重要网站迅速采取预防性下线措施。据新华社 10 月 22 日下午的报道，中国政府网、中国银行、支付宝等平台在当天上午 10 时左右暂停服务，以安装紧急补丁。美国白宫.gov 域名下的多个子站、英国政府数字服务（GDS）以及德国联邦信息安全办公室（BSI）的网站也分别关闭了数小时。社交媒体平台如 WordPress.com、Drupal 社区论坛和部分基于 Laravel 框架的电商网站同样出现访问中断。以下为部分受影响的主要机构和服务：
电影票房| 机构/平台 | 国家/地区 | 下线时长 | 恢复时间（UTC） |
|---|
| --- | --- | --- | --- |
|---|
| 中国政府网 | 中国 | 4 小时 | 2026-10-22 14:00 |
|---|
| 美国白宫.gov 子站 | 美国 | 2 小时 30 分 | 2026-10-22 12:30 |
|---|
| 英国政府数字服务 | 英国 | 1 小时 45 分 | 2026-10-22 13:15 |
|---|
| 中国银行 | 中国 | 3 小时 | 2026-10-22 13:00 |
|---|
| WordPress.com | 全球 | 1 小时 | 2026-10-22 11:30 |
|---|
| Drupal.org | 全球 | 2 小时 | 2026-10-22 12:00 |
|---|
补丁与缓解：PHP 团队 12 小时内推出修复版本
在漏洞公开后的 12 小时内，PHP 开发团队紧急发布了版本 8.3.15、8.2.28 和 8.1.31，每个版本均包含对这两个漏洞的修复。PHP 核心维护者 Nikita Popov 在 GitHub 上写道：“我们正通宵工作，确保所有分支都获得安全更新。请所有用户立即升级，停止使用旧版本。” 与此同时，Cloudflare、Akamai 等 CDN 提供商也发布了虚拟补丁规则，帮助未及时打补丁的客户抵挡攻击尝试。据 AP 通讯社引用 Cloudflare 的数据，在漏洞披露后 6 小时内，全球约有 150 万个网站主动升级，仍有超过 300 万个网站未安装补丁。
历史对照：PHP 漏洞为何比 Log4j 更危险？
安全分析师指出，此次 PHP 漏洞的影响力可能超过 2021 年的 Log4j 事件。PHP 是超过 78% 的 Web 应用程序的基础语言，包括内容管理系统 WordPress、Drupal 和 Joomla 等。相比之下，Log4j 主要影响 Java 应用，而 PHP 直接运行在服务器核心层。网络安全公司 CrowdStrike 的威胁情报副总裁 Adam Meyers 表示：“PHP 漏洞意味着攻击者可以从一个表单上传直接控制整个服务器，无需任何身份验证。这是最糟糕的远程代码执行情景。” 统计显示，全球前 1000 万网站中，约 32% 的网站使用 PHP，其中近 60% 运行在受影响版本上。
业界声音：AI 安全自动化成为新常态
此次事件为人工智能在网络安全领域的应用树立了里程碑。谷歌云安全团队的负责人 Maya K. 在新闻发布会上指出：“AI 不再是辅助工具，而是主动发现者。传统人工代码审计需要数周甚至数月，而 AI 可以在几小时内完成全源码扫描。” 不过她也强调，AI 仍然需要人类决策者的确认和上下文判断。微软安全响应中心则呼吁各厂商建立共享漏洞库，让 AI 模型可以跨组织学习恶意模式。
反思与建议：构建更具韧性的 Web 生态系统
这次大规模下线事件暴露了互联网基础设施对单一编程语言的过度依赖。安全研究员 Bruce Schneier 在博客中建议：“开发团队应实施运行时应用自我保护（RASP）措施，即使核心语言出现漏洞，也能将危害限制在单个服务内。” 同时，企业应加强供应链安全审计，确保使用的每个开源组件都经过持续监控。
Q1: PHP 网站管理员应该立刻做什么？
A1: 立即将 PHP 升级到 8.3.15、8.2.28 或 8.1.31 版本。如果无法立即升级，可以在服务器上启用至少一种 Web 应用防火墙（WAF）规则阻止已知攻击模式，并审查所有公开的输入点。
Q2: 普通用户访问网站时如何知道是否安全？
A2: 普通用户不需要操作，但可以观察网站是否显示“服务升级中”“紧急维护”等提示。如果网站正常运行，通常意味着该站点已修补或采用了云防护。建议用户避免在不信任的网站上输入敏感信息，直到所有核心服务完成更新。
此次 PHP 漏洞事件是互联网安全演进中的一次关键警醒：一个编程语言的核心缺陷足以掀起全球数字海啸。随着 AI 安全系统的成熟，类似漏洞的发现将越来越快，但修复与部署之间的时间窗口仍然是对人类协调能力的严峻考验。未来，自动化补丁分发、实时风险评分和跨机构情报共享将成为保障 PHP 漏洞及其衍生威胁不再造成大规模中断的核心手段。
