AI挖出PHP高危漏洞致多国政府关站，宣告“靠累死攻击者”的安全时代终结

事件概述

2026年10月21日晚，全球多个国家和地区的政府网站、基础设施及知名机构（包括芬兰政府、荷兰国家网络安全中心、德国联邦IT服务商、维基媒体基金会等）宣布临时关闭部分或全部在线服务。这一集体行动并非因为遭受黑客攻击，而是为了预防一个由AI发现的高危软件漏洞被利用。

核心原因是PHP后端语言的两个严重内存管理漏洞，合称为“PHP2Shell”。这两个漏洞允许攻击者在无需登录的情况下远程控制服务器。由于漏洞细节在官方发布补丁前遭泄露，各国网络安全机构建议来不及打补丁的系统立即下线，从而引发了这场罕见的“预防性关站潮”。

核心信息

1. 漏洞性质与影响范围

• 严重程度： PHP官方对两个漏洞的评分均为9.2/10，安全公司watchTowr给予满分评价。PHP基金会将其比作2014年的“心脏出血”漏洞，认为是十多年来最严重的PHP安全问题。
• 受影响版本： 漏洞位于PHP底层内存管理，与上层代码无关。受影响的版本可追溯至十多年前的PHP 5.4，所有处理网页请求的PHP实例均存在风险。
• 修复局限： PHP官方仅针对8.2至8.5版本发布了正式补丁。据安全公司Mallory统计，补丁发布前一天，互联网上仍有约88万台服务器运行着PHP 8.1或更老版本，这些系统处于极度暴露状态。

2. AI如何改变漏洞发现模式

• 低成本高效挖掘： 这是AI首次直接导致多国政府采取极端防御措施。安全公司Calif使用GPT-5.6 Sol等模型，仅用几天时间便发现了首个漏洞，并将攻击模式转化为可复用的技能文件，进而快速定位第二个漏洞。另一家公司Wiz也利用Gemini 4 Argon等模型独立验证了漏洞，称一名研究员一周完成了过去顶尖团队数月的工作。
• 终结“安全耗尽”理论： 过去，许多老旧漏洞（如PHP2Shell源头可追溯至2004年）之所以未被利用，是因为手工调试和利用成本过高，即“security by exhaustion”（靠让攻击者累到放弃来保证安全）。AI的出现将这种边际成本推向了零，使得曾经被认为“太费劲而不值得”的漏洞变得极具吸引力。

3. 攻防竞赛的新常态

• 防守窗口缩短： 漏洞原定保密期较长，但因10月20日在Hacker News等平台泄露，PHP被迫提前一天发布补丁，防守窗口从数月压缩至数小时。OpenAI预测，未来几个月类似的高危漏洞发现将急剧增加。
• 攻击方同步进化： AI不仅用于防守，也被攻击者广泛用于自动化入侵、重写恶意程序和规模化寻找零日漏洞。Anthropic和Google的报告指出，已有组织利用AI Agent自主完成大部分战术操作，甚至开发出可用的零日攻击工具。
• 数据佐证： Google发布的Chrome 156正式版修复了353个安全漏洞，是去年同期数字的十倍以上；其中最高等级的严重漏洞多由AI公司研究人员报告，显示AI已成为漏洞发现的主力军。

值得关注

此次事件标志着网络安全格局的根本性转变：依靠人类分析师体力极限来保护系统的时代已经结束。随着前沿AI模型在漏洞挖掘上的能力公开化，以及攻击方利用相同技术降低门槛，防守方面临着前所未有的时间压力和资源挑战。旧有的开源软件遗产（Legacy Code）将成为新的重灾区。