AI 发现 PHP 两处高危漏洞，欧洲多国政府网站紧急关闭

近日，在人工智能工具的帮助下，网络安全机构在常用服务器端脚本语言 PHP 中发现两处严重安全漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，可让未经身份认证的远程攻击者通过构造异常 HTTP 请求实现远程代码执行，夺取服务器控制权。

漏洞细节于当地时间 10 月 20 日提前在社交媒体泄露，PHP 开发团队次日发布紧急更新。由于担心黑客抢先发动攻击，荷兰、芬兰、法国等欧洲多国临时关闭部分政府网站和公共网络服务。

漏洞如何被发现

这两处漏洞的发现来自两家机构的独立工作。今年8月，网络安全公司Calif借助美国OpenAI公司的GPT-5.6 Sol模型，找出了潜藏在PHP代码库中的高危漏洞。同一时间，谷歌母公司Alphabet旗下网络安全公司Wiz也报告称，其研究团队使用自研工具Wiz Atlas和谷歌Gemini 4Argon模型发现了这些漏洞。

Wiz表示，这两个高危漏洞已经在PHP代码库中隐藏了十多年，一直没有被发现。PHP是一种服务端脚本语言，用于在服务器上动态生成网页内容，再发送给用户的浏览器；并非所有网站都使用PHP，但它为全球很大一部分网站提供支持。

漏洞的危害与范围

未经身份认证的远程攻击者可以通过构造异常的HTTP请求，引发内存错误并实现远程代码执行，从而夺取服务器控制权。

欧盟计算机应急响应小组表示，所有从2004年发布的PHP 5开始的版本都可能受到影响。这意味着漏洞的潜在影响面覆盖了PHP近二十年的版本谱系。

细节泄露与紧急修补

为解决这一问题，PHP开发团队在保密状态下进行修复工作，原计划在本月晚些时候正式公开相关信息并发布更新。但当地时间10月20日，关于两个安全漏洞的细节在社交媒体上泄露，大量网站随即面临网络攻击风险。

PHP开发团队于当地时间21日发布紧急更新，修复了这两个安全漏洞。从细节泄露到补丁发布，间隔仅约一天，比原定计划明显提前。

欧洲多国的应对

由于一些黑客已抢在更新发布前尝试发动网络攻击，网站高度依赖PHP语言的欧洲多国采取了预防措施，在更新发布前临时关闭部分政府网站，以降低安全风险。

路透社报道称，荷兰网络安全部门暂时关闭了服务，荷兰五个主要政党的网站、部分政府门户网站和鹿特丹港网站等也暂时关闭。芬兰受到的影响更为广泛，芬兰政府公共网络服务被迫关闭。法国内政部则表示，其所有网站被置于“预防性维护状态”。

补丁之后的遗留风险

补丁发布并不意味着问题得到解决。网络安全专家唐·史密斯表示，PHP的应用非常广泛，可以存在于公共网站、内容管理系统、托管平台和第三方产品中，有时候甚至连使用它的机构可能都没注意到，各机构必须密切关注攻击者“可能已站稳脚跟”的迹象。

版本支持方面也存在缺口。PHP开发团队目前只针对最新版本发布了更新，PHP 8.1及更早的版本不会获得正式更新，官方仅提供需自行编译的源码补丁。一些无人维护的老旧PHP网站以及技术资源有限的小型网站同样面临风险：专家警告，个人或资源有限的组织运营的小型PHP网站通常使用共享主机，网站所有者无法直接管理服务器，此类网站可能无法通过自动更新修复漏洞。

此外，由于PHP开发团队的补丁已经公开，黑客可能利用AI工具对漏洞进行逆向工程，迅速定位漏洞所在。网络安全专家警告称，这可能导致尚未通过更新修复漏洞的网站遭到攻击。

要点

两处漏洞编号为 CVE-2026-109618 和 CVE-2026-109619
漏洞可致远程攻击者执行代码并夺取服务器控制权
Wiz 称漏洞在 PHP 代码库中隐藏十余年未被发现
漏洞细节于 10 月 20 日在社交媒体提前泄露
PHP 团队 10 月 21 日发布紧急更新修复漏洞