周三，一种已有数十年历史的开源网络技术 PHP 几乎让互联网瘫痪，原因是两个漏洞在沉睡多年后，最近才被研究人员找到可利用的方法。

这两个漏洞被称为 PHP2Shell，官方编号为 CVE-2026-109618 和 CVE-2026-109619。简单来说，这些漏洞允许任何知道如何利用它们的人，在无需密码的情况下入侵运行 PHP 的在线系统，例如网站或面向互联网的服务器，并访问或修改其中的数据。

从事态严重程度来看，这次事件相当大，迫使全球数百万人赶在恶意黑客利用之前匆忙为系统打补丁。

负责维护 PHP 网络软件的 PHP Foundation 于周三公开发布了修复补丁，安装后可阻止面向网络的服务器遭受攻击。该基金会此前已提前向依赖 PHP 的一些最大互联网公司和网站托管商提供了修复的先机。

得益于数周来的幕后沟通和行业内的谨慎协调，全球迄今总体避免了大规模互联网被利用的情况。从周三开始，各国政府开始敦促公民和拥有网站的企业采取行动，降低自身风险。银行、零售商、游戏网站、网店、医院以及一些政府机构都关闭了服务器，以防止遭到攻击。

但安全研究人员警告称，事情还没有结束，全球仍有大量系统尚未打补丁，仍然容易遭到入侵和数据窃取。

这也很可能不是最后一次重大的互联网软件危机。一些人预计，人工智能的出现将迅速发现更多尚未被识别、等待被找到并被滥用的漏洞。

发生了什么？

Calif 的安全研究人员在 PHP 中发现了两个漏洞。PHP 是一种在全球广泛用于构建网站和网页应用的编程语言，既用于互联网，也用于公司网络中本地托管的系统，例如内网和内部网站。

这两个漏洞最早在 2024 年被发现，但当时并不被认为可被利用，因此没有修补。安全研究人员最近找到了利用它们的方法，于是提醒软件开发方尽快修复。

Calif 通知了 PHP Foundation，后者随即开始修复漏洞并协调披露。基金会通过在严格保密的禁令期内提供相关信息和补丁——也就是在特定截止日期前保持机密——让大型公司有机会抢先安装修复程序。

为什么这些漏洞如此严重？

PHP2Shell 之所以严重，是因为它可以被远程通过互联网滥用，而且受害者无需点击链接或打开文件。这被称为远程代码执行，是最具破坏性的漏洞类型之一，因为它们可能让世界上任何地方的黑客几乎完全控制受影响且未打补丁的系统。

更糟的是，这些特定的 PHP 漏洞使得攻击者可以在无需密码或其他凭证的情况下，通过互联网入侵任何未打补丁的系统，这被称为未经身份验证的访问。

这将使恶意黑客能够在电脑上植入恶意软件，例如窃取数据，或者仅仅为了维持一个长期据点，以便日后再次返回。

为什么 70% 的网页受影响？

PHP 只是众多老旧但仍能正常工作的技术之一，这些技术历经互联网多轮演进和多代更替，如今已无处不在，几乎像是支撑互联网大部分运转的胶水。很多时候，这些工具由开源维护者开发，而他们并没有因这项工作获得报酬，因此也负担不起第三方安全审计——但企业仍广泛依赖这些项目，却并未为其提供资金支持。

这些漏洞是由人工智能发现的吗？

Calif 的安全研究人员因今年早些时候在对 PHP 代码进行安全审计时发现这些漏洞而获得认可。Calif 参与了 OpenAI 和云安全巨头 Wiz 发起的 Hack the Planet 计划，后者随后验证了 Calif 制作的概念验证利用代码。

在 Calif 的说明文章中（还配有漫画——很棒，值得一看），研究人员解释说，人工智能被用于辅助利用该漏洞，但大部分工作仍依赖研究人员已有的知识，以及他们对 PHP 代码库和漏洞利用历史的熟悉程度。

Calif 写道：“没有任何模型仅靠简单提示就能直接挖出‘所有漏洞’。至少目前还不行。”

为什么这些漏洞在披露前就已被利用？

尽管各方努力将漏洞细节保密到周三，但看起来在补丁发布前，PHP2Shell 已经出现了某些利用行为。

由于规模庞大、可见性极高，亚马逊对在线威胁拥有巨大洞察力。该公司在一篇博客文章中表示，它在 PHP 补丁发布前大约一周就检测到 PHP2Shell 的利用迹象，这表明某个地方、某个人在漏洞细节广泛公开之前就已经知道如何利用它们。亚马逊表示，目前尚不清楚黑客是如何得知这些漏洞的，但防御者应当回溯至 10 月 17 日寻找被利用的证据。

关于事件经过，有几种说法。一旦漏洞被修补，补丁细节就可能立刻变得明显，尤其是在 PHP 这种开源代码中，任何人都可以公开查看。利用这些漏洞可能并不容易，但知道漏洞在哪里以及它是如何被修复的，可能会帮助恶意黑客判断攻击目标并开发利用代码。

也有可能是在禁令期内某处出现了泄露，或者沟通出现了中断。开源社区规模庞大，而以这种方式控制信息依赖于各方的诚信配合。

另外，也可能是黑客提前独立发现了这些漏洞，或者通过间谍活动得知了它们。

研究人员表示，要让这些漏洞真正可被利用需要大量工作，把漏洞武器化一直是个挑战——但并非不可能——这也解释了为什么我们至今还没有看到大规模利用的场景。

互联网大范围停摆，但正在恢复。我们是否躲过了最糟糕的情况？

现在下结论还为时过早，但目前没有出现大规模利用迹象，这至少是个令人鼓舞的信号——不过我们还没有完全脱离危险区。

网络安全与监测公司 Cloudflare 首席执行官 Matthew Prince 本周表示，公司看到在漏洞披露后，利用这些漏洞的尝试数量呈指数级增长。这也从侧面说明，恶意行为者正以多快的速度试图利用这些缺陷为自己谋利。

PHP 不仅用于 Web 服务器，也用于开发工具、命令行和终端软件包，以及路由器、存储设备和企业安全设备（如防火墙和 VPN）所使用的其他软件组件。

可以预期，PHP2Shell 的利用还会在后续出现，因为规模较小的 IT 团队和独立开发者可能更新得更慢。与此同时，许多将 PHP 集成到自家产品和软件中的公司也需要更新，这将经历一段过渡期。

随着越来越多设备和系统完成更新，攻击面会逐渐缩小。但这些漏洞的连锁影响仍可能持续多年，尤其是在那些无法更新的遗留系统中。

这种情况还会再次发生吗？

在我担任安全记者的这些年里，这是一场罕见的、足以让互联网停摆的日子。2016 年，巨大的僵尸网络向互联网注册机构 Dyn 发起垃圾流量攻击，导致大量顶级网站服务几乎停摆。2017 年，朝鲜使用泄露的美国政府黑客工具感染了英国医疗系统并投放勒索软件。2024 年，一次故障的 CrowdStrike 更新引发了全球大规模宕机，导致全球大多数 Windows 电脑同时崩溃。

从各方面看，借助 PHP2Shell，互联网躲过了本可能极其痛苦且破坏性极强的一天。但这不太可能是未来最后一次影响网络的大事件，而这或许是利用遗留技术弱点的一系列事件的开端。很大程度上，这是因为这些老旧但无处不在的软件本身存在固有缺陷，而这些缺陷尚未被发现，再加上人工智能工具让发现漏洞变得更容易。

PHP 和其他数十年前的网页编程语言与技术一样，属于“内存不安全”软件，这意味着它们可能遭受一整类漏洞攻击，导致软件从内存存储中泄露或溢出敏感数据。美国国家安全局表示，约 75% 的正在被积极利用的漏洞都利用了与内存相关的缺陷，也就是说，黑客经常使用这类漏洞。

这推动了业界转向使用内存安全语言，例如 Python、Rust 和 Swift，这些语言不像内存漏洞那样容易被滥用。因此，这些语言在很大程度上免疫于仍然影响其前辈的大量漏洞。

但这仍然留下了互联网中相当大的一部分，运行着 PHP、媒体和视频编解码器、压缩库，以及其他数十年前的软件——而当这些技术出问题时，会对整个网络产生巨大影响。