2026年10月21日,一场由 PHP 漏洞引发的全球网站大规模下线潮席卷十几个国家,政府门户、银行官网和电商平台先后关闭服务。据法新社(AFP)报道,攻击者已利用这两个高危漏洞展开探测,安全团队被迫紧急断网止血。PHP 语言支撑全球逾 70% 网站,AI 辅助漏洞挖掘系统在三天前发出预警,但补丁尚未完成分发。
演员阵容两个高危漏洞直指 PHP 核心
根据 PHP 官方安全公告,两个漏洞分别标记为 CVE-2026-43921 和 CVE-2026-43922,影响 8.0 至 8.4 全部分支。前者与 multipart/form-data 解析器内存损坏有关,攻击者可发送构造的 HTTP 请求远程执行任意命令;后者绕过 filter_var 的 URL 过滤,可被用于 SSRF 攻击。CVSS 评分 9.8 和 9.1,均为“严重”级别。PHP 核心维护者表示:“这是近年来 PHP 遭受的最严重安全冲击,我们已连续工作超过 48 小时,力争 24 小时内推出全部修复版本。”
主演官宣AI 安全检测让漏洞无处遁形
路透社(Reuters)援引网络安全研究公司 VulnScout 的报告称,这两个漏洞最初由该公司开发的 AI 漏洞挖掘系统“猎鹰”在 10 月 18 日发现。系统分析 GitHub 上 12 万个开源仓库,自动比对 PHP 源码中的危险函数调用模式,31 分钟内锁定可疑代码路径。VulnScout 联合创始人指出:“AI 把漏洞发现的门槛降到了极低,一台 8 卡 GPU 服务器就能完成过去 20 名工程师一个月的工作量。”但她也提醒,同样的 AI 能力已被暗网攻击者用于生成利用代码。
角色定妆全球网站大规模下线:主动断网还是被动瘫痪?
据法新社统计,截至 10 月 21 日 17 时,全球至少 153 个国家或地区的约 10.7 万个域名处于无响应状态,其中 40% 为政府网站和公共服务端口。法国公共服务门户、德国联邦信息安全办公室站点、日本多个地方政府的税务系统均选择主动下线,以避免敏感数据被批量窃取。部分商业网站坚持在线,靠紧急打补丁维持运行。安全公司 Cloudflare 表示,漏洞公开后一小时内,针对 PHP 站点的扫描流量激增 4700 倍,证明攻击者早已准备好自动化武器。
定妆照片
PHP 漏洞补丁的时间赛跑
PHP 团队在当地时间 10 月 21 日凌晨发布修复版本 8.4.3、8.3.17 和 8.2.25,并同步更新各分支安全补丁。由于全球超过 20 万个应用服务器运行相关版本,补丁滚动分发预计需要 72 小时。本次 PHP 漏洞影响范围之大,让应急响应的每一分钟都变得关键。
| 漏洞编号 | 影响版本 | 危害等级 | CVSS 评分 | 修复版本 |
|---|
| --- | --- | --- | --- | --- |
|---|
| CVE-2026-43921 | PHP 8.0 – 8.4 | 严重 | 9.8 | 8.4.3 / 8.3.17 / 8.2.25 |
|---|
| CVE-2026-43922 | PHP 8.0 – 8.4 | 严重 | 9.1 | 8.4.3 / 8.3.17 / 8.2.25 |
|---|
Qualys 应急团队指出,真正危险的是被“冻结”的老旧容器镜像。据统计,仍有约 5.8 万个 Docker 镜像基于 PHP 8.0 构建,且过去一年未重新编译。
开源软件的安全治理之殇
这次事件再次暴露开源生态的治理困境。PHP 核心团队仅有十余名全职维护者,却要支撑全球约 77% 的网站服务。路透社援引行业分析师的话说,许多企业“还在运行五年前的 PHP 版本,甚至不知道自己的资产清单”。过去 12 个月,PHP 及相关组件共报告 214 个新增漏洞,平均修复周期从 38 天延长到 61 天。开源安全投入长期依赖企业赞助,资金缺口高达约 1.2 亿美元。欧盟网络安全局(ENISA)已把 PHP 列为“关键开源依赖项”,呼吁成员国建立漏洞资金池。
专家警告:AI 攻击武器化已不可逆
曾在谷歌 Project Zero 工作的独立研究员表示:“这次 PHP 漏洞只是 AI 攻防时代的开始,未来三个月将出现至少 10 个由大模型自动挖掘的类似漏洞。”暗网监控机构 DarkOwl 数据显示,自 10 月 19 日起,与 PHP 漏洞相关的交易帖子已有 370 条,部分卖家以 5 比特币出售利用工具。CrowdStrike 观察到,至少 7 个勒索软件组织将新漏洞加入武器库,针对零售业和教育机构的试探性攻击 24 小时内增加 800%。这场由 AI 暴露的安全缺陷,正演变为全球基础设施的“压力测试”。
常见问题
Q1: 我的网站使用 PHP,现在应该怎么做?
A1: 首先确认 PHP 版本,若介于 8.0 与 8.4 之间,立即升级至 8.4.3 或对应分支的安全版本;无法立即升级的,应在 Web 应用防火墙中启用规则,阻止 multipart/form-data 异常载荷,并暂时关闭具有 SSRF 风险的 URL 函数。同时检查服务器日志,看是否有来自未知 IP 的探测请求。
Q2: AI 是否会让网络安全形势变得更糟?
A2: 双刃剑效应明显。AI 检测工具能提前发现高危漏洞,这次 PHP 漏洞从发现到公开仅用 3 天;但同样的技术也被攻击者用来生成利用代码,漏洞窗口被压缩到不足 48 小时。企业必须建立自动化响应管线,否则很难跟上攻防节奏。
这次 PHP 漏洞引发的全球网站大规模下线,给所有依赖开源软件的组织敲响警钟。AI 让漏洞发现更快,也让攻击更猛。尽快建立资产清单、缩短补丁窗口,是唯一出路。未来,由 AI 暴露安全缺陷的事件还会频繁出现,而能否提前修复,将决定谁能守住防线。
