两个藏了十多年的PHP漏洞被AI翻出，多国政府网站连夜关站

10月20日深夜，全球网络安全圈被两串CVE编号刷了屏。PHP的两处高危漏洞细节在社交媒体上提前泄露，多国政府机构连夜做了同一个动作——关站。荷兰暂时关闭了五个主要政党的网站、部分政府门户和鹿特丹港网站；芬兰政府公共网络服务全线停摆；法国内政部把旗下所有网站置于“预防性维护状态”。

这两处漏洞编号为CVE-2026-109618和CVE-2026-109619，可以让未经身份认证的远程攻击者通过构造异常的HTTP请求，触发内存错误并实现远程代码执行——说直白点，攻击者可以借此直接夺取服务器控制权。更值得注意的，是它们被发现的方式。今年8月，网络安全公司Calif借助OpenAI的GPT-5.6 Sol模型，从PHP代码库里挖出了这两个漏洞；几乎同一时间，谷歌旗下的Wiz也报告，其研究团队用自研工具Wiz Atlas配合Gemini 4Argon模型发现了它们。两个漏洞在PHP代码库中潜藏了十多年，一直没人发现，最后是被AI模型“盯”出来的。

PHP是一种服务端脚本语言，用来在服务器上动态生成网页。不是所有网站都跑PHP，但它为全球很大一部分网站提供底层支持，从内容管理系统、托管平台到各类企业站点。漏洞发现后，PHP开发团队原本计划保密修复、本月晚些时候再公开，结果10月20日细节在社交媒体泄露，攻击窗口提前打开。团队只能于当地时间10月21日发布紧急更新。麻烦在于覆盖面：欧盟计算机应急响应小组表示，从2004年发布的PHP 5开始的几乎所有版本都可能受影响，而官方只针对最新版本放出更新，PHP 8.1及更早版本拿不到正式补丁，仅提供需要自行编译的源码补丁。

比老版本更让人头疼的，是那些无人维护的老旧PHP站点。安全专家唐·史密斯提醒，PHP广泛存在于公共网站、内容管理系统、托管平台和第三方产品里，有时候连使用它的机构自己都没注意到。个人或资源有限的组织运营的小型网站，通常跑在共享主机上，网站所有者根本碰不到服务器，自动更新指望不上。而补丁一旦公开，黑客就能用AI工具对漏洞做逆向工程，迅速定位利用点，抢在网站完成更新前下手。

这次事件还有一层信号值得单独拎出来：漏洞是被AI模型发现的，补丁公开后，攻击者也同样可能借助AI加速利用。同一个工具，一边当“挖洞利器”，一边当“攻击加速器”，网络安全的攻防节奏被明显拉快，正在进入AI对抗AI的阶段。对普通企业来说，这已经不是IT部门单独扛的事。

落到企业自己身上，这件事的提醒很实在：建站时的技术选型、框架版本、后续维护，都不是一锤子买卖。站点用的什么语言、跑了多少年、谁来管服务器、出了漏洞能不能及时打补丁，这些平时不起眼的问题，遇到今天这样的“互联网地震”，直接就是生死线。对正在做网站改版或数字化升级的企业，把老站的技术债一次性理清楚，可能比多上一个功能更划算——这也是很多企业愿意把建站和后续运维交给专业服务商的原因，毕竟安全这事，怕的不是出问题，是出问题时没人管。