PHP这一被广泛用于建站的服务器端脚本语言近日曝出两处严重安全缺陷。补丁尚未落地、部分机构暂停对外服务的同时，利用漏洞展开的攻击规模迅速攀升至数百万次量级。

漏洞何时公开、紧急修复何时落地

据路透社消息，美国卡利夫网络安全公司与隶属“字母表”的维兹公司此前各自发出预警，指出有AI模型协助找出了PHP的漏洞。问题共涉及两个缺陷：攻击方有机会触发内存耗尽状态，进而形成内存损坏，并在满足特定条件时从远端执行代码。PHP开发团队已于21日推出紧急安全更新，缺陷得到修补。

Aikido Security联合创始人马德琳·劳伦斯指出，关于这些缺陷的技术细节在补丁完成之前便已流出，随后便出现了针对它们的攻击行为。

攻击量级按小时攀升

美国云服务商克劳德法尔公司首席执行官马修·普林斯21日晚在社交平台X发帖披露了攻击曲线：漏洞消息对外公布前10小时，全网已识别数千次相关攻击；公开后的45分钟内，攻击次数增长到数万；两小时内达到数十万，其后累计至数百万次。

影响范围：约七成网站与多国公共服务

据美联社给出的数据，PHP在全球网站中的使用比例约为70%。金融、航空、铁路、税务以及政府服务等多个领域的机构选择预防性下线网站。截至22日，已有相当一部分政府站点重新上线，不过安全加固仍在推进，个别站点存在间歇性中断或功能受限。

微软首席执行官萨蒂亚·纳德拉22日在德国参加一场活动时谈及此事，称这类状况已久未出现。“对于所有信息技术和（网络）安全从业者来说，这是漫长的一天一夜。”在他看来，网络系统复杂度不断上升，能够被安全地长期维护的软件因此格外重要。

AI既是发现漏洞的工具，也是修补手段

劳伦斯提到，企业正在与可能借助人工智能发起攻击的一方抢时间，加紧完成防护升级，“这是这场竞赛的核心所在”。英国皇家三军研究所网络技术部门负责人詹姆斯·沙利文则给出两面判断：坏消息是黑客能依靠AI挖出新缺陷并加以利用，好消息是同样的技术也可用来查漏与修复。

欧洲网络安全服务商誓联信息技术公司安全研究部门负责人沙尔·范德瓦尔特表示，眼下的状况更像“早期震颤”，这起事件的外溢效应会在接下去数周到数月内逐步呈现。他强调，修补不止是开发者的任务，凡是用到PHP应用的环节都要升级；据其估算，围绕这些缺陷的防护工作将在未来几周集中展开，而要彻底清理遗留风险，时间可能拉长到数月乃至数年。

PHP的技术定位

PHP属于服务器端脚本语言，在服务器上执行，承担生成网页内容、与数据库交互等职责，同时也被大量嵌入其他产品之中。

小结：此次事件暴露出两处可致远端代码执行的高危缺陷，受影响面覆盖全球约七成网站，虽然21日的紧急更新已完成修补，但攻击数量已升至数百万级，清理与加固仍将持续较长时间。对使用PHP构建或集成服务的团队来说，尽快完成全链路升级是当前最直接的应对动作。