10月21日晚上，全球一大批政府网站集体关门了。
芬兰政府关掉了所有对外网络服务；荷兰国家网络安全中心把自家官网撤了下来，鹿特丹港、足协、多家医院紧随其后；法国的省政府网站、比利时外交部、维基媒体，连任天堂都临时停掉了部分服务。日本首相还亲自发帖，催网站管理员当晚就检查自己的站点用没用PHP，网友调侃：「没想到有生之年，会被国家元首喊着去打补丁」。36氪华尔街见闻知乎
它们不是被黑了，是自己主动关的。原因出在PHP身上——全球能识别出后端语言的网站里，约七成跑在它上面。36氪
一个躺了十几年的洞，被AI挖了出来
这次的两个漏洞合称PHP2Shell，官方严重度评分9.2（满分10），安全公司watchTowr直接打了满分。不用登录、不用密码，攻击者发一个特制请求就可能接管整台服务器，WordPress、Drupal、Joomla三大建站系统全都被实验室演示过攻击成功。更让人后背发凉的是，这个洞不新。源头能追溯到2004年；2020年有人提交过bug报告，几乎没人理会；2024年官方审计摸到了边，因为证明不了真能被利用，又没修。不是没人发现，是利用它太费劲——很多漏洞之所以「安全」，只是因为攻击它太累了。36氪知乎
这回，AI把活干完了。安全公司Calif在OpenAI的「Patch the Planet」计划下用其模型定位到缺陷，Wiz Research则把Gemini和自家工具栈结合起来，拼出了完整攻击链。Wiz在报告里写：借助前沿AI模型和合适的工具，一名研究员在一周内完成了此前世界级团队数月才能完成的工作。知乎华尔街见闻
一次泄露，把两个月压成了一夜
按剧本，8月上报之后各方全程保密，补丁按部就班地发布。没想到10月20日，漏洞消息在技术论坛泄露，PHP官方被迫提前一天发布补丁，Cloudflare在补丁上线前近6小时就观察到了攻击尝试。利用代码在泄露当天就开始流传。知乎36氪知乎
美国、英国、欧盟网络安全机构给出的建议几乎一致：来不及打补丁的系统，先下线。于是就有了政府集体「关站自保」这荒诞又合理的一幕。OpenAI把从漏洞发现到攻击者上手之间的时间叫「防守方窗口」，这次，一次泄露就把窗口从两个多月压到了几个小时。到第二天，全球攻击尝试已经从几千次涨到了几百万次。36氪华尔街见闻
10月20日发布的Chrome 156，一个版本修复了353个漏洞，一年前的数字只有21和26。其中6个最高等级的「严重」漏洞，5个的报告者是AI公司。OpenAI已经放话：未来几个月，这类AI发现的漏洞会急剧增加。36氪知乎
如果你自己跑网站，今晚就动手
工信部网络安全威胁和漏洞信息共享平台也已发布紧急提示，建议相关单位和用户立即排查、升级至最新安全版本。手里有个人博客、WordPress站或者NAS Web服务的，按三步自查：华尔街见闻
查实际运行的PHP版本——命令行`php -v`显示的不一定是网站真正在用的，以主机面板为准。
升级到修复版：8.2.35、8.3.36、8.4.27、8.5.12或更高；8.1及更老版本没有官方补丁，只能升级大版本。知乎
升级后重启所有服务进程——打补丁不重启，等于没打。
拿不准的，可以用OpenAI开源的phpcheck小工具扫一遍自己的站点。注意，只更新网站主题和插件没有用——问题出在地基，不在装修。
AI让找到漏洞变得前所未有地容易，但补洞还得一台服务器一台服务器地人工来。政府网站因为AI挖出的漏洞集体关门，这次大概是第一次，也很难是最后一次。36氪
