2026年10月21日，应用最广泛的服务器端编程语言之一 PHP 被曝出极其严重的安全漏洞，导致荷兰、德国、比利时、芬兰、法国等多国政府网站紧急下线。据《卫报》报道，该漏洞使攻击者能直接访问服务器文件系统或数据库，影响范围涵盖全球约 70% 的网站。美国国家安全局（NSA）和英国国家网络安全中心（NCSC）罕见同时发出最高级别警告，要求无法立即修补的系统立即断网。
刑事案件漏洞发现与紧急响应
据据《卫报》消息，该漏洞由研究人员在例行网络防御测试中发现，并于 2026 年 10 月 21 日上午向公众披露。PHP 基金会当天即发布补丁，但全球部署需要时间。“这非常令人震惊和不安，因为 PHP 在全球的使用面太广了，”萨里大学网络安全专家艾伦·伍德沃德（Alan Woodward）教授表示，“PHP 基金会反应很快，但关键是所有使用者都得立刻把补丁打上，确保系统安全。”
案件追踪全球网站关闭全景：政府、平台纷纷断网
多个国家的政府网站在 21 日当天主动关闭。法国巴黎警察局、荷兰数字身份服务（DigiD）、荷兰国会网站、荷兰国家网络安全中心网站均下线。英国爱丁堡、布里斯托尔、牛津等市议会网站也暂时关闭。维基媒体基金会（运行维基百科的机构）称已在 21 日暂停多个系统作为预防措施。“这是预防性关闭，直到我们确认系统已打补丁，”维基媒体基金会发言人确认。WordPress（全球超过 40% 网站使用）、Slack 以及 Facebook 的部分历史代码均依赖 PHP。
法院判决专家解读：为何危机可能持续数月
“麻烦在于有一大批网站维护不善，它们将长期处于风险中，我们可能在未来数周甚至数月内看到持续的攻击，”伍德沃德教授说。他形容这是一场“竞赛”，而“有些人甚至不知道自己已经身处竞赛之中”。互联网基础设施专家米哈乌·沃兹尼亚克（Michał Woźniak）指出，该漏洞源于底层代码中几十年前就已存在的弱点。“行业中总是倾向于快速部署、从不更新，环境问题由来已久，”他说。
庭审直播从加密货币到国家黑客：漏洞被利用的多种方式
沃兹尼亚克警告，该漏洞可能被自动利用来植入加密货币挖矿程序（“利用他人的服务器挖矿”），更可能被大型犯罪组织或俄罗斯国家级黑客用作跳板发起分布式拒绝服务（DDoS）攻击。他补充说，这次事件暴露了互联网基础设施的糟糕状况，而先进 AI 模型只是加速了发现过程。“这是一种行业环境问题，激励是快速迭代并留下债务。”
反腐新闻
漏洞时间线
| 时间（2026年10月） | 关键事件 |
|---|
| --- | --- |
|---|
| 10月21日凌晨 | 研究人员在测试中触发漏洞，随后向 PHP 基金会报告 |
|---|
| 10月21日上午 | 漏洞细节公开；美国NSA和英国NCSC发布紧急警告 |
|---|
| 10月21日下午 | PHP 基金会发布补丁；荷兰、法国、英国、芬兰等国政府网站主动关闭 |
|---|
| 10月21日晚间 | OpenAI 宣称其领导的联盟利用“前沿AI”协助发现漏洞，但实际发现者否认 |
|---|
| 10月22日起 | 预计全球数百万网站将陆续打补丁，但长期维护薄弱的网站仍面临风险 |
|---|
AI在漏洞发现中的作用与争议
OpenAI 在 21 日发布声明称，它领导了一个研究人员联盟发现了该漏洞，并声称“前沿AI”在其中起到了关键作用。然而，实际发现漏洞的研究者（网名“calif”）在自己的网站上写道，他并未使用任何未向公众开放的模型。“我用了几个公开可用的 AI 工具，但没有一个是只有 OpenAI 才有的。”这一争议凸显了 AI 辅助安全研究的透明度问题。伍德沃德教授认为，无论 AI 角色如何，核心漏洞的古老性提醒我们：代码安全不能依赖“魔法”来解决。
Q1: 我的网站是否受此 PHP 漏洞影响？
A1: 如果你的网站运行在 PHP 语言上（多数 WordPress、Joomla 等网站如此），应立即确认 PHP 版本是否已更新至最新补丁。即使已打补丁，也需检查服务器日志中是否有异常访问或未授权文件写入，防止攻击者已利用漏洞安装后门。
Q2: 这次漏洞为何比以往更危险？
A2: 因为 PHP 的使用率高达 70%，且美国国家安全局（NSA）和英国国家网络安全中心（NCSC）同时发出“无法立即修补则断网”的罕见建议，意味着漏洞严重性极高。攻击者可以无需认证直接执行任意代码，导致服务器完全沦陷。
此次 PHP 漏洞事件再次敲响警钟：高速迭代的开发文化与长期维护债务之间的矛盾，正让整个互联网变得脆弱。各方应从代码审计、补丁管理和紧急响应机制入手，避免下一次“断网风暴”更加猛烈。
