澳大利亚政府的多个网站，包括该国网络防御机构和澳大利亚统计局（ABS）的网站，均在一夜之间与全球数百个网站一起被紧急关闭。原因是研究人员发现了 PHP 编程语言中的严重安全漏洞。
PHP 是一种支撑着全球超过三分之二网站运行的编程语言。
PHP 是许多热门网站设计平台和应用程序的底层技术，因此，这些漏洞可能影响大量网站，范围涵盖网店、新闻媒体和政府服务平台。
因紧急安装安全更新而下线的网站包括政府官方门户网站、地方议会网站、游戏平台和电子商务平台，以及 Something Awful 和臭名昭着的论坛 4chan 等热门网络社区。
有多少网站受到影响？
发现相关问题的网络安全公司之一 Wiz 估计，全球约70%的网站使用 PHP。该公司表示，这些漏洞“是 PHP 历史上最严重的安全漏洞之一，甚至可以说是软件发展史上最严重的漏洞之一”。
斯威本科技大学商学院新兴技术与金融科技副教授迪米特里奥斯·萨兰帕西斯（Dimitrios Salampasis）表示：“这无疑给全球各国政府和企业敲响了警钟。”
“这是一个严重的软件缺陷，影响着数百万个网站，并可能导致敏感信息泄露，甚至让黑客控制存在漏洞的系统。”
相关机构应该采取什么措施？
美国国家安全局（NSA）已建议所有使用 PHP 的机构立即安装安全补丁；如果无法及时修复，则应暂时关闭相关系统。
NSA 在一份声明中表示：“这些漏洞往往能让攻击者直接访问服务器的文件系统或数据库。”
“如果无法立即完成更新，建议相关机构将系统下线，直到漏洞得到充分修复。NSA 将在不久后发布更具体的指导意见。”
美国联邦调查局（FBI）网络部门敦促所有使用 PHP 的机构立即更新系统，并全面清查“其运行环境中哪些位置使用了 PHP，优先检查面向互联网的系统，以及内置 PHP 的第三方供应商产品”。
FBI 表示：“应监控网络服务器是否存在可疑活动，包括 PHP 进程意外启动命令行终端，或下载文件等行为。”
“确保部署适当的进程监控能力，以帮助识别潜在的漏洞利用行为。”
澳大利亚信号局（ASD）表示：“我们注意到媒体有关 PHP 严重安全漏洞的报道，这些漏洞可能影响 PHP 5 及之后的所有版本。相关机构和个人应监控 PHP 应用程序，并做好更新和安装安全补丁的准备。”
ASD 在社交媒体发布的消息中附有链接，指向其官方网站 cyber.gov.au 上的完整安全警报。然而，该网站当时也已下线。
随后，ASD 再次发文称：“我们注意到，包括 https://cyber.gov.au 在内的政府网站可能出现了服务中断。”
该机构补充说：“在运行环境中使用 PHP 的机构和个人，应持续关注并查阅 PHP 官方发布的指导信息，并在安全补丁推出后及时安装。”
澳大利亚网站是否已经遭到入侵？
截至周四上午中段，cyber.gov.au 网站已恢复运行。
澳大利亚信号局旗下的澳大利亚网络安全中心（ACSC）在通知中表示：“目前，我们尚未发现与这些漏洞相关的活跃利用行为。”
澳大利亚内政部长托尼·伯克已被联系以征求回应。
攻击者可能利用这些安全漏洞，在无需密码的情况下控制网络服务器。
PHP 基金会安全工程师沃尔克·杜施（Volker Dusch）告诉《华尔街日报》，这是 PHP 十多年来遭遇的最严重安全问题。他将其与2014年引发全球紧急修复行动的 Heartbleed 漏洞相提并论。
这一安全漏洞是如何被发现的？
此次发现发生之际，随着人工智能模型能力不断增强，软件安全漏洞的披露数量正在迅速攀升。按照目前的趋势，2026年发现的漏洞数量可能接近去年的纪录水平的两倍。
PHP 志愿开发者已于周三发布修复程序。
为 PHP 开发人员提供资金支持的 PHP 基金会在一篇博客文章中表示：“如果你正在使用 PHP，现在就必须立即更新。”
安全公司 Calif 于8月利用 OpenAI 的 GPT-5.6 Sol 模型发现了这些漏洞。当时，该公司正在进行一项由 OpenAI 资助的 PHP 代码安全审计。
澳大利亚信号局内部。图片来源：ASD
谷歌旗下的网络安全公司 Wiz 则在数周后独立发现了这些漏洞，其研究过程借助了多种人工智能模型，包括谷歌的 Gemini 4 Argon 和 GPT-5.6 Sol。
OpenAI 在社交平台 X 上表示，该公司认为这一漏洞“是近年来影响最重大的安全漏洞之一”，并指出，这“标志着一个新阶段的到来：人工智能能够发现影响整个互联网规模的安全漏洞”。
OpenAI 在一篇文章中写道：“据我们所知，前沿人工智能在攻击者之前发现了这些漏洞，为系统维护人员和安全服务提供商争取到了一个防御窗口，使他们能够在漏洞公开披露前准备修复方案和防护措施。”
“尽管这些漏洞影响重大，但它们只是我们已经发现并正在推动修复的多个重要漏洞中的一部分。我们预计，未来几个月此类发现将大幅增加。”
这对未来意味着什么？
宾夕法尼亚大学沃顿商学院研究人工智能的教授伊桑·莫利克（Ethan Mollick）表示，他接触的企业正苦于跟上安全补丁发布的速度，以应对人工智能驱动的网络攻击。
他在 X 上写道：“现在，消费者也将面临同样的体验：所有东西都需要频繁、快速地更新。”
萨兰帕西斯教授表示，此次事件凸显了无处不在的“数字接口和数字便利”背后潜藏的风险，从物联网（IoT）设备到通过二维码点餐的网站，都可能受到影响。
他说：“这一切之所以发生，是因为我们想要便利。”
“数字系统追求实时运行，就意味着随时可能出现问题。尤其是在人工智能时代，许多事情可能失去控制。如今，潜在攻击面正在迅速扩大。数据每秒甚至每毫秒都在大量产生。无论是企业还是个人，任何人和任何事物都可能成为黑客攻击的目标。”
冈纳·海勒克森（Gunnar Hellekson）负责 IBM 企业级开源软件公司红帽（Red Hat）的供应链安全项目 Lightwell。
海勒克森警告说：“全球运行着的大量关键软件，恰恰也是最不为人所注意的软件。”
他在一份声明中表示：“那些稳定运行、‘一直都能正常工作’的生产环境代码，如今正面临风险，因为人工智能驱动的漏洞发现方式，正在以更快的速度和更大的规模揭示新的安全问题。”
“PHP 面临的问题提醒我们，开源软件已深深融入支撑全球商业运行的系统之中。PHP 这样的基础软件一旦出现漏洞，其连锁影响可能波及整个行业。”
网络安全公司 Sophos 威胁研究高级总监克里斯·尤尔（Chris Yule）表示，更棘手的问题是，一些老旧系统和设备仍在运行存在漏洞的 PHP 版本，而这些设备无法简单地更新或替换。
他说：“尤其是各类专用设备，它们在组织的运行环境中可能就像一个黑箱，外界难以了解其补丁状态和软件版本，而机构往往只能依赖设备供应商提供更新。”
“在这些情况下，额外的防护措施对于限制风险至关重要。机构还必须查明哪些受影响的系统和设备仍在运行。否则，攻击者很可能比防御人员更早发现这些设备。”
为什么网站会被紧急关闭？
相关漏洞此前已被私下报告给 PHP 开发团队，并在修复程序准备期间严格保密。
然而，漏洞细节于周二在网上泄露，比原定修复程序发布时间提前了一天，促使各网站紧急下线。
令人意外的是，报告漏洞的安全公司 Calif 自身也犯下重大失误，进一步加剧了混乱。
PHP 基金会表示：“漏洞信息泄露后，在世界协调时约20时发布预告期间，报告这些问题的安全公司 Calif 错误地发布了一段视频。”
“视频展示了其概念验证攻击如何针对多个目标生效，并披露了少量额外信息，尽管这些细节有限。”
“被删除的视频很快开始在社交媒体上流传。”
“这段视频加速了各种概念验证攻击代码（PoC）的开发，并进一步推动相关内容于10月21日传播。”
全球各地发生了什么？
法国： 法国内政部表示，应法国国家网络安全局的要求，包括巴黎警察部门网站在内的多个地方政府网站自周三下午起无法访问。
荷兰： 据荷兰公共广播机构 NOS 报道，出于预防措施，荷兰国家数字身份服务 DigiD、众议院网站以及国家网络安全中心网站均已下线。
比利时： 比利时外交部在 X 上表示，已出于预防目的暂时关闭旗下网站。不过，比利时网络安全中心尚未发现针对比利时网站的攻击。
维基百科： 在线百科全书维基百科的部分页面和服务周三无法访问。
负责运营维基百科的维基媒体基金会表示，正在处理相关安全漏洞，并已“出于预防措施关闭其他一些系统，直到能够安全地安装补丁”。
日本： 日本首相高市早苗发布紧急呼吁，要求所有人立即采取行动。
她在 X 上写道：“请检查你们对公众开放的网站是否使用 PHP，并做好准备，在日本时间10月21日晚11时修复补丁发布后，尽快安装。”
“如果无法及时安装补丁，可以考虑暂时关闭网站等措施，以有效降低风险。”
游戏平台： 据游戏新闻网站 Kotaku 报道，包括 Pokémon HOME、Pokémon Champions 和 Pokémon Sleep 在内的多个宝可梦应用于周三因紧急维护而下线，其中 Pokémon Sleep 明确提到了安全防护措施。
热门日本游戏《赛马娘》的运营方也表示，正在进行维护，以修复服务器中发现的 PHP 漏洞。
澳大利亚： 澳大利亚统计局（ABS）网站同样一度无法访问，页面显示网站“目前正在维护”，预计将于周四恢复运行。
澳大利亚政府是否提前收到通知？
目前尚不清楚澳大利亚政府是否提前收到漏洞警报。澳大利亚信号局发布的通知显示，该机构当时只是“注意到媒体报道”。
OpenAI 表示，为协助修复关键系统漏洞，该公司已与合作伙伴共同联系美国政府多个部门，包括白宫超级智能工作组、国家网络总监办公室（ONCD）以及网络安全和基础设施安全局（CISA），同时也联系了国际合作伙伴。
此前，澳大利亚总理安东尼·阿尔巴尼斯曾批评 OpenAI，在一名失控的 OpenAI 智能体于6月造成 Medicare 数据泄露后，该公司延迟数月才通知澳大利亚当局。
接下来会发生什么？
区块链研究公司 Factory Labs 创始人尼克·阿尔蒙德博士表示，PHP2Shell 漏洞是“有史以来最严重的漏洞之一，无论从严重程度（它可以实现完整的远程代码执行），还是从影响范围来看，都是如此”。
他在 X 上说：“PHP 可能是分布最广泛的服务器端技术之一。仅 WordPress 就支撑着约40%的网站。”
阿尔蒙德博士指出，这也是开源人工智能时代发现的影响最大的漏洞之一。
他说：“通常，从补丁发布到黑客开始广泛传播可用的攻击工具，中间会有一段缓冲时间。”
“今天世界协调时14时，PHP2Shell 的补丁将发布，而可行的攻击工具很可能在几分钟内就会出现。利用这些工具不需要国家级威胁行为者的能力，任何人只要输入一条提示词，就可能做到。”
“因此，我们不仅会在核心基础设施中发现更多此类深层、严重的漏洞，影响范围也会大得多，而应对时间则会短得多。由于这是一个深层的服务器端漏洞，如果僵尸网络活动大幅增加，我也不会感到意外，因为攻击者可能会在各处接管存在漏洞的设备。”
“未来几天的网络安全角势将会很值得关注。”
尽管各类机构和政府正争分夺秒部署更新，但人们担心，数以百万计仍在使用 PHP 的老旧网站早已无人维护，最终可能遭到入侵。
加密货币企业家阿尔托·本迪肯（Arto Bendiken）在 X 上写道：“今天的 PHP 末日，就像一场迟早会发生的森林大火，席卷着旧版万维网中至少4000万个仍在运行 PHP 的网站。”
“这是一个时代的终结：眼下开始的破坏，将进一步推动一个更大的趋势——未来几年，人类可直接阅读和浏览的网络内容将逐渐衰退。”
“现实地说，无论人们付出多大努力，今天都不可能挽救数量庞大到难以统计的网站。这些网站毫无防护，正暴露在风险之中，甚至可能此刻就正在遭到入侵。不会有皆大欢喜的结局，只有一片混乱。”