全球的互联网安全和网站管理团队正在紧急行动，以防止广泛的灾难。在周三，广受使用的 PHP 编程语言的开发者发布了紧急安全更新，旨在修复可能被利用的关键漏洞，这些漏洞可能让攻击者获得受害系统的危险远程控制。PHP 基金会详细说明了两个关键漏洞——CVE-2026-109618 和 CVE-2026-109619——这些漏洞影响“所有提供 web 请求的 PHP 安装”，回溯到 2004 年 7 月发布的 PHP 5 版本。然而，根据警报，只有 PHP 8.2 及更新版本仍然受到支持并将获得补丁。PHP 基金会指出，一些 PHP 发行版和第三方供应商仍在生产遗留修复程序。这个警告是重要的，因为像 PHP 这样的普遍且基础的网络层可能在历史互联网基础设施中被遗忘且未更新。“没有完整的缓解措施，更新是唯一安全的选择，”PHP 基金会在其公告中写道。安全专家警告，忽视未修补系统可能会导致严重后果。“这不是演习，”独立安全顾问兼伦敦国王学院的访问高级研究员卢卡斯·奥莱尼克表示。自 1990 年代开发以来，PHP 已发展成为 web 开发的重要脚本语言，广泛应用于互联网的各个角落，包括网站和软件。从像 WordPress 和 Drupal 的出版系统到像 Adobe 的 Magento 的电子商务平台，都是基于 PHP 构建的。奥莱尼克将这种编程语言的广泛使用比作关键基础设施。“影响是巨大的，”他谈到 PHP 的安全缺陷时说，并补充称可能会影响数百万个系统。“尤其是如果攻击者迅速转向利用这些漏洞。最坏的情况是可以传播的恶意软件影响互联网的大部分。”安全团队和开发者最大的担忧是恶意黑客可能会迅速利用这些漏洞，在其修复之前开始攻击。互联网基础设施公司 Cloudflare 报告称，在 PHP 基金会详细说明漏洞和发布修复之前，他们“看到了早期攻击的出现”。“我们预计在发布后的 15 分钟内会开始大规模攻击，”安全公司 Sansec 在发布修复之前写道，这些修复程序是在美东时间周三上午 10 点之前发布的。“大多数网站都运行在 PHP 上，而这个漏洞出现在一个像没有锁的前门一样的文件上传接口上，”长期的安全和合规顾问达维·奥滕海默说。“攻击者无需知道他们攻击的是哪个网站，甚至实际运行的软件是什么。他们只需向他们找到的任何服务器发送一个经过精心设计的上传，这就是整个攻击。”在更新版本的 PHP 发布之前，一些组织为了预防措施关闭了其网站。根据报道，芬兰政府的多个网站，包括国家土地调查局均无法访问。法国政府网站和鹿特丹港口网站也因故下线，路透社报道了这一情况。“每个人都应该立即修补，利用可能会很快发生并且规模巨大，”奥莱尼克说。“人工智能使得利用此类漏洞的紧迫性显而易见。确实，可能是在一两分钟内。”安全公司 Wiz，属于谷歌，声称其研究人员部分借助人工智能工具发现了 PHP 中的漏洞，而 OpenAI 和安全公司 Calif 也声称各自独立发现了这些问题并进行了合作。Wiz 研究人员将一次利用演示命名为 php2shell，表示在某些情况下，这些漏洞可以“相当容易地”被利用。“这些漏洞可能允许未经身份验证的攻击者在受影响的服务器上执行代码或读取敏感进程内存，”Wiz 在其研究中写道。“该内存可能包含其他请求或服务器自身的密码、身份验证令牌、API 密钥和证书。”即将出现的漏洞的详细信息于 10 月 20 日首次由 PHP 维护者发布。在 PHP 网站上的一篇简短帖子中，PHP 基金会表示正提前“通知”安全缺陷和即将发布的修复程序。尽管省略了有关漏洞或受影响版本的具体细节，但它表示这两个缺陷被认为在常见漏洞评分系统 (CVSS) 中得分为“关键”的 9.2 分（满分 10 分）。“我们保留在任何漏洞详情公开或出现活动利用证据时提前发布的权利，”PHP 网站上的安全警告在周三发布前表示。根据 Bleeping Computer 和 Ars Technica 的报道，在这些漏洞的正式发布之前，某些细节可能已经泄露。PHP 基金会的提前警告可能让一些开发者...