近日，在人工智能（AI）工具的帮助下，全球网络安全机构在常用的服务器端脚本语言PHP中发现了两处严重的安全漏洞，引发多国互联网“地震”。
PHP开发团队原计划本月晚些时候完成漏洞修复，但安全漏洞在当地时间10月20日被提前公开，大量网站面临网络攻击风险，多国不得不暂时关闭部分政府机构网站。PHP开发团队已于当地时间21日发布紧急更新，修复这两项高危漏洞。
PHP是一种服务端脚本语言，用于在服务器上动态生成网页内容，再发送给用户的浏览器。并非所有网站都使用PHP语言，但它为全球很大一部分网站提供支持。
今年8月，网络安全公司Calif借助美国OpenAI公司的GPT-5.6 Sol模型，找出了两个潜藏在PHP代码库中的高危漏洞。同一时间，谷歌母公司Alphabet旗下网络安全公司Wiz也报告称，其研究团队使用自研工具Wiz Atlas和谷歌Gemini 4Argon模型发现了这些漏洞。
这两处漏洞编号分别为CVE-2026-109618和CVE-2026-109619，可导致未经身份认证的远程攻击者通过构造异常的HTTP请求，引发内存错误并实现远程代码执行，从而夺取服务器控制权。Wiz表示，这两个高危漏洞已经在PHP代码库中隐藏了十多年，但一直没有被发现。
英国广播公司（BBC）称，为解决这一问题，PHP开发团队在保密状态下进行修复工作，原计划在本月晚些时候正式公开相关信息并发布更新。然而，当地时间10月20日，关于两个安全漏洞的细节在社交媒体上泄露，引发网络攻击风险。
PHP开发团队于当地时间21日发布紧急更新，修复了这两个安全漏洞。但由于一些黑客已抢在更新尝试发动网络攻击，网站高度依赖PHP语言的欧洲多国不得不采取“预防措施”，在更新发布前临时关闭部分政府网站，以降低安全风险。
路透社报道称，荷兰网络安全部门暂时关闭了服务，荷兰五个主要政党的网站、部分政府门户网站和鹿特丹港网站等也暂时关闭。芬兰受到的影响更为广泛，芬兰政府公共网络服务被迫关闭。法国内政部也表示，其所有网站被置于“预防性维护状态”。
然而，补丁发布并不意味着问题得到解决。网络安全专家唐·史密斯表示：“PHP的应用非常广泛，可以存在于公共网站、内容管理系统、托管平台和第三方产品中，有时候甚至连使用它的机构可能都没注意到。各机构必须密切关注攻击者‘可能已站稳脚跟’的迹象。”
欧盟计算机应急响应小组表示，所有从2004年发布的PHP 5开始的版本都可能受到影响。但PHP开发团队目前只针对最新版本发布了更新，PHP 8.1及更早的版本不会获得正式更新，官方仅提供需自行编译的源码补丁。
一些无人维护的老旧PHP网站以及技术资源有限的小型网站同样面临风险。专家警告称，个人或资源有限的组织运营的小型PHP网站通常使用共享主机，网站所有者无法直接管理服务器，此类网站可能无法通过自动更新修复漏洞。
此外，由于PHP开发团队的补丁已经公开，黑客可能利用AI工具对漏洞进行逆向工程，迅速定位漏洞所在。网络安全专家警告称，这可能导致尚未通过更新修复漏洞的网站遭到攻击。
