PHP 这一支撑当今大部分网站的编程语言曝出漏洞后，2026年10月21日，全球各国政府与机构开始紧急修复。该漏洞可能使黑客获取网站数据并控制网站，促使美国国家安全局、多家网络安全机构以及软件供应商发布紧急警告。

安全研究公司 Calif 的一名研究人员于2026年8月利用 OpenAI 的先进人工智能模型发现了该漏洞，并向管理 PHP 的非营利组织报告。然而，在 PHP 组织发布软件补丁之前，漏洞消息已经泄露；据亚马逊云服务（AWS）官员称，黑客已开始“大范围”尝试利用该漏洞。

由于 PHP 是支撑数百万网站运行的关键软件，此漏洞的影响远超单一公司或平台。那么，PHP 是什么？AI 在发现该漏洞中发挥了什么作用？普通用户是否需要担心？

PHP：互联网的基石

PHP 是一种驱动大多数网站的编程语言。现代网站要提供动态内容、视觉元素和可搜索功能，就必须有程序在网络服务器上运行并接收用户输入——无论是输入网址还是点击链接和按钮。据估计，约70%的网站运行在 PHP 上。因此，PHP 的弱点并非某个应用的缺陷，而是数百万网站共享的这一层同时受到影响。

PHP 在网络服务器上以两个主要部分运行：核心 PHP 系统——即引擎和运行时库——以及各个 PHP 脚本，即实际实现网站功能的定制程序。当访客与网站交互时，PHP 脚本运行、接收用户输入并生成浏览器显示的输出。

该漏洞

此次安全问题直接存在于 PHP 核心系统及其使用的库中。当漏洞存在于如此深层的环节时，攻击者便可能利用它侵入底层系统。在本案例中，攻击者可以在托管网站的服务器上运行未经授权的命令，从而获取数据并完全控制网站。

重要的是，这并非某个网站代码中的错误。由于问题出在 PHP 核心系统，所有未打补丁的 PHP 服务器均易受攻击。而且网站对互联网上的任何人都是可访问的，攻击者可以使用自动化工具轻松找到基于 PHP 的目标，然后运行利用该漏洞的攻击程序。其结果是管理员部署修复与攻击者扫描未修补服务器之间的赛跑——AWS 官员所描述的大范围利用尝试已经体现了这一态势。

该漏洞利用代码被称为 PHP2Shell，其名称源于它所赋予的“shell 访问权限”——这是网络安全术语，指对运行网站的服务器进行直接的命令行控制。Shell 访问绕过网站界面，使攻击者可以输入命令并访问网站的全部数据。

AI：一把双刃剑

这一漏洞特别值得关注的是它的发现方式。该漏洞通过“协调披露”流程曝光，即网络安全研究人员在公开之前先向 PHP 开发者报告漏洞。在本案例中，8月的私密报告与10月的公开披露之间相隔约两个月。

这一事件凸显了 AI 在网络安全领域的力量。几十年来，发现隐蔽的软件漏洞需要大量专家团队人工审查代码。如今的 AI 系统可以在数小时或数天内检查庞大的代码库并识别异常模式，分析数百万行代码，发现人类审计员在数十年的软件开发中可能忽略的细微内存管理缺陷。该 PHP 漏洞在核心代码中存在了十多年，而 AI 帮助研究人员发现了它。这一案例表明漏洞发现的规模正在改变：一名与 AI 协作的研究人员就能发现过去需要大型团队才能找出的漏洞。

但同样的工具也可以为攻击者所用。帮助安全研究人员率先发现缺陷的能力，也能让攻击者快速扫描网络寻找易受攻击的目标，并自动化生成利用工具。这正说明了安全团队利用 AI 发现漏洞并安全、主动地报告为何如此关键——也说明了 AI 为何还能帮助发布缓解这些漏洞的补丁。

你需要担心吗？

许多政府机构、大学、医院和企业都依赖基于 PHP 的系统。虽然普通互联网用户受到直接影响的可能性的较低，但延迟打补丁的组织可能暴露敏感数据、面临运营中断的风险，或让攻击者获得进入更大网络的立足点。

PHP 完全运行在远程网络服务器上。如果你只是浏览网站的普通互联网用户，无需下载补丁或修复个人电脑。

但是，如果你管理网站、博客或服务器——即使是基于 WordPress 等流行内容管理系统（其本身也运行在 PHP 上）搭建的小型网站——你应立即检查服务器管理面板或联系网络主机，确保 PHP 软件已更新至最新的补丁版本。如果你的网站由第三方托管，请向其确认是否已针对这些漏洞进行了修补。

PHP2Shell 的发现揭示了网络安全的新现实。在万物互联的世界里，维护网络基础设施的安全是一场持续的竞赛。随着 AI 工具成为网络防御者和网络攻击者的标准配置，保持快速打补丁的习惯仍然是我们最根本的防线。

本文由爱荷华州立大学电气与计算机工程大学教授 Doug Jacobson 撰写，依据知识共享许可协议转载自 The Conversation；可阅读原文。本文最初发表于 Fortune.com。