全球约七成网站使用的PHP曝出重大漏洞，引发48小时资安恐慌，各国政府网站紧急下线，攻击尝试迅速攀升。协助大量网站抢修的关键人物，却是一位鲜为人知的捷克志工Ondřej Surý。

他将修补程序打包成可直接安装的套件，让网站管理员加速更新，也让网络基础设施长期仰赖少数志工的脆弱现实浮上台面。

PHP支撑全球约七成网站运作，这次被称为「PHP2Shell」的两个漏洞，通用漏洞评分系统（CVSS）分数均达9.2分，允许未经身分验证的攻击者，在服务器上运行任意代码。

这意味着，攻击者不需要密码或特殊权限，就可能接管服务器。不过，PHP的普及率并不代表所有使用PHP的网站都已遭到入侵。

漏洞提前曝光 全球网站急拉警报

Cloudflare首席执行官Matthew Prince表示，漏洞公开前10小时，公司网络已观察到数千次利用漏洞的尝试；公开后45分钟增至数万次，两小时内达数十万次，之后更累积至数百万次。

德国联邦信息技术中心预防性关闭多个政府网站，芬兰、法国及比利时也对公共部门网站采取保护措施。美国网络安全暨基础设施安全局（CISA）、欧盟CERT-EU及英国国家网络安全中心（NCSC）则接连发布警告。

CERT-EU提醒，许多商用与开源产品采用PHP作为后端，即使没有直接对外提供PHP服务，也可能受到影响。

修补提前一天 管理员被迫抢时间

PHP安全团队原定周四发布修补程序，但漏洞信息提前外泄，一段概念验证攻击示范视频开始流传，迫使团队将发布时间提前至周三，准备时间因此少了一天。

视频来自软件供应链安全公司Chainguard。该公司首席执行官表示，团队使用公司的AI工具及一款先进模型，只下达「找出PHP中的严重漏洞」这类基本指令，就找到了同一批内存毁损漏洞。

Chainguard随后与PHP维护者合作，确认部分发现与既有漏洞报告相符，并协助测试修补程序。他强调，这些漏洞相当复杂，团队花了好几个月，才做出真正可用的修补程序。

他也警告，往后只要知道某款软件存在漏洞，就可能在几小时内开发出攻击程序，甚至不必事先掌握漏洞的确切位置。

关键一步 靠志工完成

危机升高之际，Surý的名字开始在Reddit与X上被反复提起。一名PHP社群用户写道：「Ondřej今天会拯救网络。」

软件开发者Ian Landsman也发文形容，世界上大部分PHP发行版都仰赖这个人维护，如果他出了什么事，许多人都会受到牵连。

这种说法虽有夸张成分，却凸显Surý在软件更新流程中的重要性。他的正职是Internet Systems Consortium的DNS工程总监，维护PHP套件则是持续超过20年的志工工作，也不是由PHP基金会支付薪资。

他的任务并非独自修复漏洞，而是将PHP项目发布的原代码，打包成能直接安装到服务器上的软件套件，让网站管理员更快完成更新。

没有这一步，用户仍可取得原代码自行编译，但过程更复杂，也不是每个人都具备相关技能。通过预先准备好的套件，同一份更新便能部署到数百、数千台服务器，省去各自编译的时间。

网络一片恐慌 他却相当冷静

Surý接受《大西洋月刊》访问时表示，外界虽然恐慌，这48小时对他而言却没有特别疯狂。

原因之一是，他已经做这份工作超过20年，许多流程早已自动化；另一个原因则是，他自己没有任何运行PHP的系统，可以专注准备套件。

他认为，PHP项目事先将他纳入知情范围，让他能在漏洞公开前做好准备，才是这次能及时应对的重要因素。

「现在出了状况，需要解决，解决的方法也明确了。我有时间做好准备。」他如此形容当时的心情。

但他也坦言，如果事发时自己正在亚得里亚海中央的船上，情况就可能完全不同。这个假设也点出，当大量网站依赖少数维护者时，个人的时间与可用性，都可能影响更新速度。

延宕近两年 暴露结构性问题

这场危机不只是漏洞提前曝光的结果，也揭开开源软件长期面临的资源问题。

PHP基金会事后承认，其中一个漏洞的修复线索，早在2024年的外部安全稽核中就已出现，但因资源不足、决策流程效率低落，加上真正深入理解PHP引擎内部机制的人太少，修复工作延宕近两年。

基金会将此称为「结构性失败」，而这个问题并未因紧急修补就获得解决。

Surý的志工工作，长期以来主要靠金额不大的捐款支持。这次事件受到关注后，他在24小时内收到的捐款，几乎相当于过去一整年的总额。

他也开始与软件公司Freexian的Raphaël Hertzog讨论紧急接手方案。Surý表示，自己的优势是多年经验，知道如何让系统正常运作，而Freexian同样具备专业能力，必要时可以接手。

修补尚未完成 风险仍在

Surý指出，若未及时更新，最基本的后果是网站遭破坏或瘫痪；攻击者也可能取得设备控制权，将其纳入僵尸网络，出售相关服务，或利用服务器挖掘加密货币。

他认为，这类攻击如今主要涉及具有经济动机的组织犯罪集团，已不只是出于好玩的个人行为。由于并非所有用户都完成修补与升级，这些风险仍然存在。

至于网络流传「部分旧版PHP无法修补，三分之一网络永久受损」的说法，Surý明确否认。他表示，旧版也有修补方法，只要用户愿意处理，仍能完成更新。

AI加快攻防 维护资源不能再忽视

这次PHP漏洞由Wiz、Calif与OpenAI研究人员借助AI发现，也让外界更加担心，AI找出及利用漏洞的速度，可能超过防御者的应变能力。

此前，资安社群已因一连串漏洞事件感到不安。约翰霍普金斯大学教授、密码学家Matthew Green甚至形容，网络像是一堆干燥的引火物，只差有人找到火柴。

Surý同意，资安攻防正在加速，防御者也能利用大型语言模型主动找出漏洞。但他认为，根本问题仍是人们把信息技术基础设施视为理所当然，没有投入足够的维护资金与重视。

他希望，从开源软件获益最多的企业，能为维护者付出的时间与劳动提供回报。若长期依赖少数人的热情，却不给予相应支持，最终可能让他们失去持续投入的动力。

对Surý而言，社群留言与感谢邮件让他感受到工作的价值。但这场48小时危机留下的问题，远超过一位幕后英雄的故事：支撑大量网站运作的基础设施，如何获得足够资源，让维护工作能够持续下去。