AI 挖出 PHP 致命漏洞，多国政府网站被迫集体下线

据 Woofun AI 消息，10 月 21 日晚，全球多个国家和地区的重要基础设施网站出现罕见的集体临时关闭现象，其核心诱因是被称为 的底层高危漏洞爆发。

这一事件并非源于大规模黑客入侵，而是各国机构在得知漏洞存在后采取的紧急防御措施，标志着由人工智能驱动的网络安全威胁已从理论走向现实，彻底终结了依赖'攻击者嫌麻烦'而维持安全的旧有逻辑。

在这场全球性的网站下线潮中，受影响机构名单涵盖了从国家政府到关键民生设施的广泛领域。芬兰政府率先切断了所有对外网络服务；荷兰国家网络安全中心不仅撤下了自身官网，鹿特丹港、荷兰足协、五大政党网站以及多家医院也紧随其后暂停服务。法国内政部指令各省政府网站暂时下线，德国联邦 IT 服务商关闭了多个站点，比利时外交部、维基媒体基金会以及任天堂等知名机构也相继停掉了部分服务。

值得注意的是，这些网站并未遭受实际攻击，而是出于预防目的主动关掉，以规避潜在的系统性风险。

PHP2Shell 之所以引发如此剧烈的恐慌，根源在于其极高的技术危害性与广泛的普及度。PHP 作为全球使用最广泛的网站后端语言，约七成可识别后端语言的网站均运行在其之上。该漏洞组合允许攻击者在无需登录的情况下，远程控制整台服务器。PHP 官方对这两个漏洞的严重程度评分均为 9.2（满分 10），安全公司 则直接给出了满分评价。漏洞位于 PHP 最底层的内存管理模块，与具体网站代码质量无关，所有处理网页请求的 PHP 版本均受影响。 指出，受影响范围可追溯至十多年前的 PHP 5.4 版本。PHP 基金会成员 将其与 2014 年的'心脏出血'漏洞相提并论，称其为十多年来最严重的 PHP 安全问题。

漏洞披露后的 48 小时内，全球网络安全界经历了混乱的紧急响应。按照行业惯例，软件方应在补丁准备就绪后与发现者共同公开漏洞，但 10 月 20 日， 和地下论坛 提前泄露了消息，watchTowr 当天确认漏洞真实性。PHP 官方被迫将补丁发布时间提前至 21 日 14:00（UTC）。在补丁发布前近六小时，Cloudflare CTO 在 X 平台警告称已观察到早期攻击尝试。美国国家安全局、英国国家网络安全中心及欧盟网络安全机构 CERT-EU 随即发出一致建议：来不及打补丁的系统应立即下线，从而引发了前述的全球网站关闭潮。

PHP2Shell 的另一个反常之处在于其历史渊源，它并非全新发现，而是长期潜伏的'幽灵漏洞'。 公司在技术文章中将源头追溯至 2004 年，当时安全研究员 Stefan Esser 就已发现 PHP 在内存耗尽时的同类问题。2020 年有人提交过相关 bug 报告但未获重视；2024 年一次第三方资助的安全审计再次触及该问题，但因无法证明可利用性而未修复。独立作者 Nick Rogers 分析指出，过去此类漏洞之所以未被利用，是因为将其转化为可用攻击需要'数周枯燥的手工调试'，攻击者往往因成本过高而放弃。

这种状态被称为'security by exhaustion'（累到放弃式安全），即依靠攻击者的疲惫来维持系统安全。

Woofun AI 整理数据显示，打破这一平衡的关键变量是 于 6 月启动的''计划，该计划资助安全公司利用 AI 审计关键开源软件。Calif 公司作为参与者，于 8 月 1 日由研究员 带领团队开始审计 PHP。AI 在此过程中充当'审计搭档'与 agent，负责梳理内核代码并追踪执行路径，首个漏洞的关键缺陷即由 agent 发现。8 月 11 日，Calif 向 PHP 报告漏洞，并让 AI 将发现模式总结为可复用的技能文件，进而定位第二个漏洞。