PHP漏洞致全球70%网站面临被攻陷风险｜应急指南

全球数十个国家和地区的政府门户网站与商业网站在2026年10月21日相继下线，起因是用于支撑约70%互联网服务的编程语言PHP被发现两个高危漏洞。攻击者利用这些漏洞可绕过密码验证直接控制服务器，波及范围之广令安全界将其与历史上最严重的软件危机相提并论。

漏洞核心：PHP语言占据互联网基石地位

据南华早报报道，这两处漏洞存在于PHP的通用版本中，而PHP是WordPress、Joomla等主流内容管理系统以及大量定制化网站的后端基础。安全公司Wiz的初步分析显示，全球每10个网站中就有7个在服务器端使用PHP，这意味着从电子商务平台、新闻媒体到政府电子政务系统几乎无一幸免。漏洞的触发条件相对简单，远程攻击者无需任何身份凭证即可通过精心构造的HTTP请求入侵服务器，进而读取数据库、植入恶意代码或窃取敏感文件。

安全公司Wiz警告：漏洞堪称“软件史上最严重”

发现该漏洞的安全研究团队Wiz在一份技术报告中指出，此次发现的缺陷“属于PHP乃至整个软件史上最严重的漏洞之一”。Wiz的工程师透露，他们利用AI辅助的模糊测试工具发现了这些异常，AI系统能够在短时间内生成数百万种异常输入，从而定位到传统方法难以察觉的边界条件错误。美国国家安全局（NSA）在社交媒体上发布声明，要求所有使用PHP的组织“立即打补丁，否则就将受影响系统离线”，并强调这些漏洞“通常提供一条直达服务器文件系统或数据库的路径”。

全球反应：政府网站大面积下线，NSA敦促立即修补

截至2026年10月21日晚间，法国政府公共服务门户、比利时数字身份证系统、荷兰DigiD数字身份平台、澳大利亚信号局（ASD）以及日本网络安全中心均主动关闭了相关服务。巴黎市政府官网显示“技术维护中”，比利时财政部网站则直接跳转至安全警告页面。据法新社消息，部分国家还紧急发布了面向企业和公民的安全提示，建议暂停在线交易功能，直至完成修复。NSA的警告与Wiz的评估相互印证，凸显了事态的紧迫性。

漏洞发现过程：AI技术加速安全缺陷挖掘

此次漏洞的曝光与人工智能技术的深度介入密不可分。Wiz团队使用经过大规模代码训练的AI模型，自动生成大量异常请求并监测PHP运行时的内存状态。AI在数小时内就发现了两个潜在的可利用路径，而传统人工代码审计可能需要数周。Google的零日漏洞研究团队也独立确认了其中一处漏洞，并补充了利用细节。这表明，AI正在从辅助工具变成网络安全攻防的核心驱动力——它既可以帮助防御方更快找到漏洞，也可能被恶意行为者用于自动化开发攻击方法。

历史对比：从Heartbleed到PHP漏洞的关键时间线

上表可见，PHP漏洞的覆盖密度超过了历史上任何一次同类事件。Wiz估计，如果不尽快修补，攻击者可能在48小时内开始大规模自动化扫描，届时受感染服务器数量将迅速增长。

专家行动建议：网站管理员应立即采取的步骤

安全机构建议所有PHP网站运维人员：更新PHP至最新补丁版本（已修复漏洞）；检查服务器日志是否有异常访问记录；暂时关闭非必要的PHP扩展；启用Web应用防火墙（WAF）进行虚拟补丁防护。荷兰国家网络安全中心强调，即便网站使用了CDN或云服务，仍必须直接在源服务器上完成修补，因为漏洞位于解释器层面。

常见问题（FAQ）

Q1：我的个人网站使用PHP需要担心吗？

A1：是的，只要服务器运行受影响且未打补丁的PHP版本，攻击者就可能未经授权访问。请立即检查PHP版本（php -v）并联系主机服务商确认是否已应用官方补丁。

Q2：这次漏洞与之前的Log4j漏洞相比如何？

A2：Log4j漏洞主要集中在Java生态，影响企业服务；而PHP漏洞直接影响Web服务端，覆盖全球约70%网站，包括大量个人博客和小型企业站点，因此实际受害面更广。两者严重程度均达到最高级别（CVSS 10或接近），但PHP漏洞的利用门槛更低。

2026年10月的这一事件再次证明，在AI赋能的安全攻防新时代，基础软件的脆弱性可能以远快于以往的速度暴露。全球互联网基础设施的韧性正面临前所未有的考验——从开发人员到系统管理员，每一个环节都需要将安全前置，才能在这轮“AI加速”的博弈中守住阵地。