世界各地网站广泛使用的编程语言“PHP”，发现存在高危安全漏洞。为降低遭受网络攻击的风险，开发方迅速发布修复程序，日本国内外相关机构为防患于未然，纷纷采取了临时关停网站等紧急应对措施。
如今互联网已渗透到生活的方方面面。作为支撑绝大多数网站运行的PHP曝出漏洞一事，充分暴露出当下网络社会的脆弱性。
互联网社会，世界互联互通，服务器攻击及其危害会演变为全球性事件
PHP开发团队官网通报PHP漏洞及更新程序的页面截图（供图：PHP开发团队）
全球69.3%网站使用
编程语言是人类向计算机指示工作步骤和处理方法的“语言”。PHP是其中的代表性语言之一，主要运行于管理网站的服务器之上。漏洞指系统或软件中存在的安全缺陷。
PHP可免费使用且易于操作，因此在全世界普及。许多网站采用的内容管理系统（CMS） “WordPress”也使用PHP，PHP已成为支撑网络服务的重要技术之一。
奥地利一家网页调研企业的数据显示，在能够识别编程语言的全球网站中，有69.3%使用PHP。尽管还有Java等其他语言，但PHP的市场占比遥遥领先。因此它一旦出现重大漏洞，大量全球网站与线上服务都可能受到波及。
据PHP开发团队等介绍，PHP由丹麦出身的技术人员拉斯马斯·勒德尔夫于1995年开发。此后由全球技术人员组成的开源社区持续迭代改良，至今仍在共同维护开发。它并非由特定企业所有和运营，而是一款免费开放源代码的编程语言。
2021年，用于扶持开发的非营利组织“PHP Foundation（PHP基金会）”成立。基金会接受企业捐赠，用于向开发者发放酬劳、强化开发体系。开发方向基本由技术人员的社区共同商议决定。
信息处理推进机构官网发布PHP漏洞警示的页面截图（供图：信息处理推进机构）
PHP开发团队发布更新修复程序通知的页面截图（供图：PHP开发团队）
日本政府与企业紧急应对
针对此次问题，PHP开发团队于日本时间10月21日凌晨事先公布了PHP存在“CVE-2026-109618”“CVE-2026-109619”两个重大漏洞，并预告在当日23时发布修复程序。该漏洞在0至10分的通用风险评级中被评为9.2，在满足一定条件下，外部攻击者可在服务器上执行恶意程序。PHP开发团队如期于当晚公开了修复漏洞的更新程序（补丁），呼吁用户尽快升级。
上述消息迅速传遍全球，日本政府及相关机构迅速反应。经济产业省所辖独立行政法人信息处理推进机构（IPA）和政府国家网络安全统筹室（NCO）在接到PHP开发团队最初通报后，于21日相继就PHP重大漏洞发出提醒，要求用户在修复程序放出后及时更新。首相高市早苗也根据NCO的信息发布，在自身X（旧推特）上发帖提醒各方做好修复准备。
据政府相关人士透露，22日，NCO负责人饭田阳一内阁网络安全官等前往首相官邸，与高市首相等人就应对措施进行协商，国家安全保障会议（NSC）也同步召开。一系列政府动作体现了事态的紧迫性与严重性，NCO发出了“若处置不当，网站等系统有遭到入侵的风险”的警告。
官房长官木原稔在22日上午的记者会上表示：“已建议使用PHP的企业等尽快应用修复补丁程序，如果暂时无法完成修复，临时关停网站也是降低风险的有效手段之一。我们已向政府相关机构、重要基础设施企业和中小企业发出提醒”。并强调“将持续落实各项必要应对措施”。气象厅官网出现历史气象数据部分内容无法访问的情况，不少政府网站受到影响。
民间企业同样紧急开展预防性防护，全日空（ANA）、西日本旅客铁道（JR西日本）、三菱UFJ银行等金融、铁路航空、旅游、零售、IT服务等广泛行业的众多企业，为防范非法访问纷纷采取了暂停网站访问、停止部分服务等紧急措施。
财务省官网临时关停公告截图。该网站在确认安全后重新开放（供图：财务省）
官房长官木原稔在10月22日上午的记者会上说明PHP漏洞事件（供图：内阁广报室）
欧美同步排查可疑攻击迹象
互联网没有国界。PHP漏洞的影响波及全球。
欧盟委员会、欧盟网络安全机构（ENISA）和欧洲刑警组织发表联合声明，敦促各方尽快采取措施。同时警告称，如果无法完成修复，应当考虑将受影响的应用暂时从公网断开。
路透社等外媒报道，芬兰、德国、法国、荷兰等欧洲多国的政府平台、公共服务与企业网站均采取了预防性临时下线措施。
美国国家安全局（NSA）、联邦调查局（FBI）第一时间发出预警，提示机密数据与网络存在遭入侵风险，要求无法即时升级程序的主体切断网络连接，并持续监控设备是否出现异常下载等可疑行为。
美国CNN将其作为重大新闻，报道了美国国内及世界各国紧急应对情况。英国许多公共服务无法使用。在CNN的大规模报道中，引人注目的是OpenAI和谷歌旗下Wiz等利用AI率先发现了PHP漏洞。据报道，AI大幅加快了以往难度较高的漏洞分析、攻击可行性验证工作。
ENISA发布PHP漏洞紧急处置要求的网站页面截图（供图：ENISA）
FBI发布PHP漏洞警示并公示应对方案的网站页面截图（供图：FBI）
AI在漏洞发现环节发挥重要作用
在此次PHP重大漏洞的发现过程中，快速进化的生成式AI发挥了重要作用。据PHP基金会和OpenAI介绍，美国安全企业Calif利用OpenAI的高性能AI模型对PHP进行了调查，并于8月报告了重大漏洞。此外，Wiz也利用谷歌和OpenAI等多个高性能AI模型开展独立调查，同样于8月向PHP开发团队报告了2个漏洞。
Wiz指出，导致此次漏洞相关的缺陷其实早在10多年前就已存在于PHP程序中。PHP开发团队在2024年就察觉到异常迹象并着手研究修复方案。但由于技术难度和开发体制问题，修复工作迟迟未能推进，今年8月利用AI的研究证实了其存在严重危险性。
不过，这里还有一点值得关注。据PHP基金会10月21日官方声明，PHP开发团队原计划22日同时公布漏洞详情和修复程序。然而，在20日有关两个漏洞的部分信息泄露到互联网上。因此PHP方面将计划提前一天，于21日紧急公开了修复程序。修复程序上线前漏洞信息便已提前泄露，使外界担忧情绪迅速扩散。
OpenAI强调，此次高性能AI先于攻击者发现漏洞，为开发人员争取到了准备修复程序的时间。但同时警示，同种AI能力存在被滥用于研发网络攻击手段与攻击程序的风险。OpenAI将此次PHP问题定位为近年来影响最大的安全问题之一，并表示“今后数月内，由AI发现的同类重大漏洞将会增加”。
展示联网路由器、网络摄像头等感染恶意程序并被用于网络攻击机制的说明图。并非此次PHP漏洞机制的说明（供图：日本政府广报在线／政府广报室）
AI时代的安全保障，国际协作成为课题
网络空间的攻防因AI的进步正进入新的阶段。PHP基金会强调，虽然借助AI发现并报告的漏洞正在增加，但其评估和修复仍需要人类技术人员判断。也就是说，AI正成为防御方技术人员的强有力工具。
与此同时，攻击方也在利用AI研发新型攻击手段。一旦PHP这类基础软件的漏洞被利用，攻击者就能够远程执行恶意代码、或读取服务器内存当中的机密信息。
人类正在进入AI同时加速网络攻防两端的新阶段。在此背景下，如何将人工研判与修复工作同高性能AI的能力相结合，已成为一项新课题。
日本国内近期面向企业的网络攻击频发，个人信息泄露案件接连出现。目前暂未证实这些事件和本次PHP漏洞存在直接关联，但这一广泛使用的基础软件曝出重大漏洞，再次让各界意识到网络防御的重要性。
网络攻击防护是日本，也是全世界共同的重要课题。围绕AI开发的国际竞争日益激烈，但为防止此类攻击造成巨大损害，各国间和企业间的信息交换与技术合作不可或缺。国际协同防御的需求愈发迫切。
展示从大量终端向特定服务器等产生大量通信的一种网络攻击（DDoS攻击）示意图。漏洞一旦被利用，终端可能被劫持并被攻击方非法利用
原文：内城喜贵/科学记者 JST Science Portal 编辑部
中文：JST客观日本编辑部
