PHP 致命漏洞致全球断网，多国政府紧急拔线

据 Woofun AI 消息，支撑 与 等核心平台、覆盖全球近七成网站的 编程语言，因底层内存严重漏洞'PHP2Shell'引发全球性安全危机，导致多国政务与商业系统陷入断网潮。

为规避正在扩散的攻击风险，欧洲多国政府与机构采取了罕见的'预防性停机'措施。荷兰鹿特丹港、政府综合门户 Overheid.nl、多家医院及政党网站相继下线；比利时外交部在获悉潜在攻击报道后宣布关停外网服务；德国数字事务部亦证实，其联邦政府中央 IT 服务商已暂停部分站点运行。停机范围还在继续扩大。芬兰政府宣布，作为预防措施，将面向公众的互联网服务暂时下线；荷兰众议院和国家网络安全中心网站也一度无法访问。当地媒体报道称，由于多个地方政府共同使用软件供应商 的服务，超过 100 个市政府、省级机构及水务机构受到影响。德国和奥地利部分高校也采取类似措施，包括维也纳大学和弗赖堡大学。开源系统 Drupal 临时首席执行官更是直言，此次风险波及绝大多数网站，Drupal 在部署更新期间将关闭所有直属站点。

Woofun AI 整理数据显示，据安全机构分析，本次暴露的 CVE-2026-109618 与 CVE-2026-109619 两项漏洞破坏力极强，评分高达 9.2。攻击者无需通过任何身份认证，仅凭构造异常的 HTTP 请求引发内存错误，即可在应用代码执行前夺取服务器控制权。

这意味着，即便上层业务逻辑毫无瑕疵，底层环境同样可能直接暴露在攻击之下。PHP 基金会安全工程师福尔克·杜施（）坦言，这是该项目十余年来面临的最严峻安全考验。监测显示，受波及版本跨度甚至可追溯至早期的 PHP 5.4 系列。派拓网络() 旗下安全团队 已监测到实际利用迹象，并发现全球有超过 2260 万个暴露节点面临潜在威胁。

方面也表示，已经观察到针对相关漏洞的'早期攻击'，并为通过其基础设施进行防护的客户部署了相应保护措施。PHP 官方随后确认，修复两个严重漏洞的新版本已经上线，并'强烈建议'用户立即升级。此前，欧洲计算机应急响应小组 CERT-EU、英国国家网络安全中心以及澳大利亚网络安全中心均要求机构优先清点内部 PHP 资产，无法及时完成修复的系统应考虑暂时下线。

更令业内担忧的是，生成式 AI 的普及显著缩短了漏洞转化为攻击代码的时间窗口。 方面表示，其前沿模型虽然先于攻击者发现了这些弱点，但鉴于受影响面之广，这无疑是近年来危害最深的安全事件之一。首先捕获该问题的 Calif 安全公司首席执行官泰·杜昂（）发出预警：'一旦有人借助 AI 逆向分析补丁并公开利用脚本，局面将迅速陷入失控。'此次漏洞正是借助 AI 发现。

Calif 研究人员今年 8 月在审计 PHP 源代码时，利用 OpenAI 的 识别出相关问题。研究人员随后与 PHP 维护团队以及其他安全机构展开秘密修复。谷歌 安全团队此后又独立发现了与此次漏洞相关的其他攻击路径。整个修复工程的规模远超普通安全更新。据参与者披露，补丁涉及接近 200 个文件，开发人员累计编写和修改超过 1 万行代码。原定补丁发布日期为 10 月 22 日，但相关消息提前在 泄露后，PHP 团队决定加快发布节奏。