“黑色十月”：PHP严重漏洞波及约七成网站

2026年10月21日，两个影响PHP编程语言的关键安全漏洞被公开披露。PHP支撑着全球约七成网站的运行，安全研究机构称，这是该语言历史上发现的最严重漏洞之一。消息公布后，美国与英国多家政府网站及机构服务暂时下线以部署补丁，美国国家安全局随即发出警报，敦促所有运行PHP的网站立即打补丁。多名安全专家警告，十月接连出现的一系列安全事件可能标志着严重网络风险正在成为新常态，安全界把这个十月称为“黑色十月”。

事件经过

据报道，这两个关键漏洞是在人工智能的辅助下被发现的，研究人员把其中最关键的利用链称为PHP2Shell。相关缺陷已存在十余年，但要证明其可以被利用，需要极其复杂的连锁步骤，接近人类研究人员实际可及能力的极限。人工智能跨过了这道门槛，让这一隐藏多年的缺陷第一次暴露在公众面前。补丁于10月21日当天随披露一同发布，PHP官方团队敦促所有使用者立即安装。

PHP是一种服务器端编程语言，驱动着全球约七成网站的运行，包括WordPress、Drupal、Joomla等广泛使用的建站平台，以及维基媒体基金会旗下网站所使用的MediaWiki系统。正因为PHP无处不在，这次漏洞的影响范围才格外引人关注。安全研究机构Wiz在其博客中写道，这是“PHP有史以来发现的最严重漏洞之一，在软件历史上也可排在前列”。该机构表示，相关缺陷的根源已存在数十年之久。

据报道，Wiz研究人员在10月21日公开披露之前，已通过协调披露机制提前向PHP官方上报了这些缺陷；另一位独立研究人员也几乎同时发现了同一问题。协调披露的做法让补丁能够与披露同步发布，但这也意味着，在披露之前的窗口期内，针对这些缺陷的利用尝试就已经开始，防御者与攻击者之间的竞赛在公开之前就已展开。

漏洞披露之后，利用尝试迅速激增。安全服务商Cloudflare方面表示，在漏洞正式公布前的十小时内，已有数千人尝试利用这些缺陷；在公布后的四十五分钟内，尝试次数增至数万人；两小时内增至数十万人，随后达到数百万次。研究人员指出，针对这一漏洞的利用尝试已经开始，而且规模还在扩大。

据报道，亚马逊的威胁情报团队在漏洞正式披露四天前就发现了针对PHP的利用尝试。这一细节表明，在漏洞公开之前，已有攻击者察觉到了相关缺陷的存在。安全专家指出，披露前的窗口期往往是最危险的阶段，因为防御者尚未拿到补丁，而攻击者已经开始行动。

10月21日当天，维基百科与互联网档案馆短暂下线了部分服务，荷兰、法国、丹麦、芬兰等国政府网站也暂时关闭，工作人员争分夺秒地部署紧急修复。日本首相高市早苗公开呼吁各方检查自己的网站是否运行PHP，并做好部署补丁的准备。这些下线并非遭到攻击的结果，而是工程师为抢在漏洞被利用之前完成修复而采取的预防措施。

然而，并非所有网站都能及时获得补丁。据互联网情报公司Censys统计，在其分析的二百六十万台服务器中，约有一百五十万台报告的PHP版本没有可用补丁。这意味着，大量规模较小的网站、被忽视的服务器与互联网上被遗忘的角落，可能在头条新闻过去很久之后仍然暴露在风险之中。安全专家指出，大型机构可以迅速行动，但数以百万计的小型网站未必有人维护。

美国国家安全局在漏洞披露后发出警报，建议所有运行PHP的网站立即部署补丁，并警告恶意网络行为者可能利用这些漏洞未经授权访问服务器。警报写道，“此类访问途径可能帮助攻击者窃取敏感数据、中断服务，或在网络内进一步深入”。英国国家网络安全中心也发出了类似警告，敦促相关机构立即打补丁或将受影响系统下线。

需要区分的是已被观察到的利用尝试与已经证实的损失。据Recorded Future旗下研究机构表示，截至10月21日，尚未确认利用漏洞实施的实际入侵造成了损害。这一提醒意味着，公众目前看到的主要是风险与防范行动，而非已经发生的破坏。但专家同时强调，没有确认损失并不等于没有风险，尤其是在利用尝试已经达到数百万次的情况下。

各方反应

安全研究机构Wiz的评价最为引人注目。该机构表示，相关缺陷的根源已存在数十年，但要证明其可被利用，需要“极其复杂的连锁步骤，处于人类研究人员实际可及能力的边缘”。人工智能的介入改变了这一局面，让机器完成了人类难以完成的概念验证，也让一个隐藏多年的缺陷第一次被完整揭示出来。

安全界把十月这一系列事件称为“黑色十月”，并非指存在统一协调的攻击行动，而是形容事件的严重程度与数量。专家们数月来一直在警告“漏洞末日”的可能性，即人工智能让发现安全缺陷变得更容易，而“黑色十月”则是研究人员第一次用人工智能找到如此根本、如此关键的缺陷。一些专家在社交媒体上写道，未来两年将“极其、极其、极其充满风险”，因为新的工具会以无限的耐心在互联网上寻找漏洞。

多国政府与企业的反应相当迅速。美国与英国的政府网站及私人网站在披露后暂时下线，欧洲多国政府网站也采取了同样措施，日本首相公开呼吁检查。各国网络安全机构相继发出警告，要求运营者立即行动。这种跨国同步应对的场面，在以往的漏洞披露中并不多见，也从侧面反映出这次事件的严重程度。

与此同时，技术领袖们对人工智能的双重作用表达了担忧。正如人工智能被用于发现漏洞，它也会被恶意行为者用来以前所未有的速度利用这些缺陷。安全专家指出，人工智能既能帮助防御者更快找到问题，也能帮助攻击者更快制造攻击工具，攻防双方的竞赛正在进入一个新的阶段。

背景影响

PHP之所以影响如此之大，是因为它构成了互联网“看不见的管道”。平时没有人会注意到它，只有当它停摆时，人们才会意识到银行、商店、政府服务与日常网站都依赖于同一套基础代码。这次事件让公众第一次直观地看到，一种诞生已有数十年的编程语言出现问题，可以在一天之内让多国政府网站同时下线。

更令人担忧的是长尾风险。大型机构与知名平台可以在数小时内完成补丁部署，但互联网上还有数以百万计无人维护的老旧网站。安全专家指出，并不是每一个类似PHP的问题都会在被别有用心者用人工智能工具抢先利用之前被发现，那些无人看管的网站可能永远得不到修复，成为长期潜伏的风险点。

荷兰、芬兰与比利时等国政府选择主动关闭本国公共网站，而不是让它们继续暴露在风险之中。分析人士指出，这种宁可下线也不冒险的做法，反映出各国政府对这次漏洞严重程度的判断，也可能成为今后应对类似事件的参照。政府网站的集体下线，让普通民众第一次直观地感受到，一次软件漏洞可以如何影响日常生活。

据科技媒体汇总，同一周内还出现了其他安全事件，例如过于简单的密钥被发现，以及人工智能代理被用于破解数字锁的尝试。这些事件彼此之间没有证据表明存在协调或关联，但它们在同一时期接连出现，显示出问题并非单一漏洞，而是多处基础设施同时出现故障。一些分析人士认为，这种巧合本身就比单一攻击更令人不安。

对普通用户而言，这次事件的影响还体现在日常服务上。据报道，银行正在发现越来越多“未经授权的第三方人工智能代理”在其系统内活动，网上银行等日常便利服务也面临新型风险。专家提醒，普通用户无法直接修复服务器漏洞，但网站运营者应当立即检查并部署补丁，普通用户则应留意自己常用服务的官方通知，具体情况以官方公布为准。

从更长远的角度看，“黑色十月”可能标志着一个转折点。人工智能正在改变漏洞发现的速度，也在改变漏洞利用的速度。安全专家警告，如果防御者不能跟上这一速度，类似的严重漏洞披露可能不再是偶发事件，而会成为新的常态。未来几个月，网络安全行业如何应对人工智能带来的攻防变化，将成为各方关注的焦点。

安全专家还提醒，这次事件的教训不限于PHP本身。任何被广泛使用的基础软件一旦出现严重漏洞，影响都可能波及全球。如何为这类关键基础设施提供持续的安全保障，成为事件之后各方讨论的新议题，而答案仍有待观察。

权威一手来源

本文事实主要依据《大西洋月刊》相关报道、美国有线电视新闻网、路透社与Vox的报道，以及安全研究机构Wiz的研究博客与美国国家安全局发布的公开警报。漏洞影响范围、利用尝试次数与补丁覆盖数据以官方公布为准。

核验日期：2026年10月25日

免责声明

本文内容仅供信息参考，不构成任何网络安全或投资决策建议。文中引用的数据与观点均来自公开报道，实际情况请以官方发布为准。

更多美国生活资讯，欢迎关注美国通微信公众号：UUUMGT。