PHP漏洞揭示AI时代的新型安全悖论

姗姗来迟的补丁

PHP 开发者周三发布了紧急更新，修复了两项关键漏洞——CVE-2026-109618 和 CVE-2026-109619——攻击者可能利用这些漏洞在执行该脚本语言的网站上执行任意代码。安全公司称这些缺陷是有史以来在任何软件中发现的最严重的漏洞之一。问题不仅在于它们的严重程度。更在于这一时刻揭示了互联网隐秘架构的脆弱性，以及人工智能加速下威胁的新节奏。

约 70% 的网站运行在 PHP 之上。这种数十年来建立的主导地位，如今已成为一种漏洞倍增器。安全研究人员尼古拉斯·韦弗确认，利用代码已在野外流通，这意味着尚未打补丁的系统此刻正暴露在外。Palo Alto Networks 估计超过 2260 万实例的 PHP 存在漏洞。另一位研究者则认为涉及超过 130 万个网站。这两个估算之间的差距并非方法论的分歧——而是对基础设施腐坏深度认知的分歧。

记忆黑洞

漏洞本身在技术上相当直接，而这正是它们如此危险的原因之一。PHP 通过分配内存来处理 HTTP 请求。当请求超出可用内存时，PHP 无法正确释放已分配的内存空间，导致进程处于不稳定状态。攻击者若能操控 PHP 在该无效内存中遇到的数据，就可以崩溃进程、泄露敏感信息或执行远程代码。

运营互联网部分最繁忙基础设施的 Cloudflare 警告称，这些漏洞为访问服务器文件系统或数据库提供了直接路径。美国国家安全局在数小时内也发布了类似评估。美国网络安全与基础设施安全局（CISA）联合英国、加拿大、澳大利亚和欧盟的 counterparts，建议组织在能够应用补丁之前将 PHP 驱动的网站下线。芬兰切断了其政府网站。荷兰众议院也采取了同样措施。这些并非对假设性威胁的反应。

半互联网困境

思科的评估切中了这场危机为何将持续远超初始补丁窗口期的核心原因。在所有面向互联网的 PHP 实例中，大约一半运行的是无法接收安全更新的过旧版本。这些是服务器、CMS 平台和应用程序栈，它们已越过支持生命周期——未退役是因为退役需要工作、协调和资金。运行这些系统的组织甚至可能根本不知道它们的存在。

这是早期互联网的隐性架构，仍在较新平台下默默运转。WordPress、Joomla、Drupal——每一种都可以在 PHP 上运行，其中许多部署早已停止更新。PHP 开发团队可以发布补丁。但他们无法强制迁移。对于遗留基础设施，没有一键关停开关，只有因漠视而导致的缓慢衰败。

AI 如何改变博弈

这些漏洞由谷歌旗下的安全公司 Wiz 发现，并由 Calif 利用 OpenAI 的 GPT-5.6 Sol 模型发现。OpenAI 将此次发现称为近年来最具影响力的安全问题之一，并指出能够发现互联网规模漏洞的同一套 AI 能力，也能加速攻击工具的开发。这种张力正是这一时刻的决定性特征。

尼古拉斯·韦弗称这些 PHP 漏洞是 AI 时代最早的大规模漏洞危机之一。他的观察极为精准。AI 系统在将补丁转化为利用代码方面表现卓越，因为补丁本质上是一份变更配方——它清晰展示修改了何处，并由此推断出漏洞所在。从披露到武器化的时间间隔，以往以周或月计，如今正压缩至接近实时。韦弗直言不讳：“我们已进入一个必须近乎即时应用更新的world。”

WatchTowr 的杰克·诺特报道，威胁情报社区已在讨论这些漏洞并尝试利用，尽管尚未确认成功的攻击案例。预期中的并非怀疑——而是耐心。

政府响应

特朗普政府表示，联邦机构在 10 月 16 日获悉漏洞后已开始评估其 PHP 使用情况。白宫称正与联邦机构及领先 AI 实验室协调，以加快修复并保护关键基础设施。NSA 敦促合作伙伴立即更新。这些都是针对严重漏洞的标准机构响应。此次响应的不同之处在于暴露的规模和威胁时间线的速度。

Cloudflare 在披露后数小时内部署了防火墙规则以保护客户——这提醒我们，拥有快速行动资源的中继方现在已成为数百万无力自我保护的小型运营商的第一道防线。

未来走向

运行近期 PHP 版本的组织应立即打补丁。运行不支持版本的组织则面临更艰难的抉择：升级底层平台、完全迁移离开 PHP，或在迁移可行之前接受风险。对许多人而言，如果利用工具在采取行动前就已成熟，这个决定将为时已晚。

更深层的教训关乎基础设施战略。PHP 的持续主导地位——尽管其安全模型是为一个更简单的网络而设计——反映了一种更广泛的模式。互联网运行在那些维护已落后于部署的系统之上。AI 既加速了对这套老化架构中漏洞的发现，也加速了这些漏洞转化为武器的速度。结果是，一个反应式补丁已不再足够的安防环境。

此次漏洞事件是对一个世界早已遗忘其仍在运行的架构的一次压力测试。PHP 不会在一夜之间消失。但其影响力与维护能力之间的差距，如今已以被利用的实例来衡量，而非理论上的风险。