周三，欧洲各地的政府网站纷纷陷入瘫痪，网站运营方争分夺秒地修补 PHP 中的两个严重漏洞。PHP 是网络上使用最广泛的编程语言之一。
PHP 的开发人员周三表示，他们将发布针对这两个严重漏洞的修复补丁。欧盟网络安全官员则警告称，无法应用修复程序的组织应将受影响的网站下线。以下是你需要了解的相关信息：
什么是 PHP？
PHP 是一种用于运行网站的编程语言。它在后台运行。当用户打开一个网页时，运行 PHP 的服务器会组装页面内容，并将生成的完整页面发送到浏览器。
PHP 免费、开源，由志愿者维护。网站所有者很少需要直接与它打交道。
根据网络技术追踪机构 W3Techs 的数据，在所有能够识别出所使用编程语言的网站中，近 70% 使用 PHP。PHP 也是 WordPress 背后的核心引擎，而 WordPress 为约 40% 的网站提供支持，包括博客、小型企业网站、政府门户网站、网店和新闻网站。
这些漏洞有哪些风险？
根据行业标准漏洞评分系统 CVSS 4.0 的严重程度评级，这两个漏洞的评分均为 9.2 分（满分 10 分）。
欧盟网络安全事件响应团队 CERT-EU 表示，这一评级意味着漏洞可能允许未经身份验证的远程代码执行。这意味着攻击者无需密码或账户，就可以通过互联网在存在漏洞的服务器上运行命令。
PHP 中的一个漏洞，就可能同时为数百万台服务器打开同一道大门。任何成功利用该漏洞的人，都可能控制相关网站。
网络托管服务提供商 GoDaddy（GDDY）表示，这可能导致数据被窃取、网页被篡改，甚至整个系统遭到全面入侵。Cloudflare（NET）的首席技术官表示，早期攻击已经开始出现。
大多数小型网站通常由没有专职安全人员的所有者运营，而且往往托管在共享服务器上。在这种情况下，网站所有者并不负责管理服务器，也可能不知道究竟由谁来更新 PHP。
WordPress 网站安全插件 Wordfence 警告称，通常使用的自动更新机制不会应用此次漏洞修复程序。
CERT-EU 的建议是：将受影响的网站下线，而不是让它们继续暴露在攻击风险之中。
这些漏洞是如何被发现的？
据相关公司介绍，安全公司 Calif 与 OpenAI 合作，使用 OpenAI 的 GPT-5.6 Sol 模型发现了第一个漏洞，并于 8 月 11 日向 PHP 开发团队报告了该漏洞。
由 Alphabet（GOOGL）旗下谷歌收购的安全公司 Wiz 则独立发现了这些漏洞，并于 8 月 24 日报告了第二个漏洞，同样使用了人工智能模型。
Wiz 表示，这些发现“跻身 PHP 历史上最严重的漏洞之列，甚至可以说是软件发展史上最严重的漏洞之一”。
该公司称，这些漏洞的根本缺陷已经存在了数十年，但要证明它们确实能够被利用，需要经过一系列步骤，其难度“已经接近人类研究人员在实际操作中所能达到的极限”。
美国总统唐纳德·特朗普领导的政府表示，正在“跟踪这一情况，并与联邦机构及主要的超级智能实验室协调，以加快修复程序的发布”。这里所说的“超级智能实验室”（SI labs），是指特朗普偏好使用的人工智能相关称谓。
特朗普政府将此次发现视为美国“超级智能”能够增强国家安全的证据。
精彩评论