全球网络安全近日面临严重考验，支撑全球约七成网站运作的开源编程语言 PHP 被揭露存在两项高危险性安全漏洞(CVE-2026-109618 与 CVE-2026-109619，统称为 PHP2Shell)。美国资安暨基础设施安全局(CISA)已将其纳入「已知被利用漏洞」目录，命令所有联邦民事机构于限期内完成修补，全球多国政府机关与企业更掀起一波预防性关闭网站的风潮。

AI辅助挖掘十年隐蔽漏洞 攻击门槛随之降低

这两项漏洞风险评分高达 9.2 分(满分 10 分)，属于未经身份验证的远程代码运行(RCE)漏洞。由于漏洞存在于 PHP 解释器内核的内存管理与错误处理机制中，已潜伏超过十年，且可在网站业务代码运行前被触发，因此单靠传统应用程序防火墙难以获得完全防范。

资安公司 Calif 与 Wiz 利用人工智能(AI)大语言模型进行审计，仅用两天便找到了触发入口。然而，AI 在加速资安防卫的同时，也缩短了攻击者开发攻击工具的时间。

TLP:Black 资安研究与事件应变公司共同创办人 Costin Raiu 指出，AI 正推动一场「利用竞赛」，下一步将是「网络上所有受威胁 Web 服务器的大规模入侵」。

全球数百万次攻击尝试 专家警告长尾威胁

漏洞信息意外泄露后，全球网络攻击呈指数级激增。Cloudflare 首席执行官 Matthew Prince 透露，在漏洞公开前 10 小时内已纪录数千次攻击尝试，公开后短时间内便攀升至数百万次。亚马逊资安主管 CJ Moses 也证实，其诱捕系统(Honeypot)在公开披露前数日即侦测到来自匿名网络的攻击尝试。

为避免遭入侵，英国、荷兰、芬兰、法国、日本及澳洲等国政府与企业纷纷预防性下线部分公共服务网站。日本 SoftBank 甚至一度暂停发送地震与津波等紧急灾害警报推播。

多位资安专家对后续演变表达深切担忧。Calif 资安研究员Ryan Austin表示，这是他所发现「最严重的漏洞」，攻击者利用该漏洞就像「从前门直接闯入房子」，能在内部网络自由游走并发动勒索软件攻击。

英国萨里大学资安专家教授Alan Woodward强调， PHP 全球使用量巨大，最令人担忧的是大量缺乏维护的小型网站将形成「长尾效应」，带来长达数周甚至数月的持续性攻击威胁。

网络基础设施专家Michał Woźniak警告，黑客可能利用漏洞将受害者服务器转为加密货币挖矿机，或作为国家级黑客与犯罪组织发动分布式阻断服务(DDoS)攻击的跳板，并批评软件产业长期存在「重快速部署、轻后续维护」的环境缺陷。

PHP 基金会已紧急发布修补程序(Patch)，并强烈呼吁所有网站管理者立即更新。资安专家／道德黑客 Ken Munro 说明，安装修补程序就像「运行 Windows 系统更新」，网站拥有者必须承担修复责任。

雪梨新南威尔斯大学资安研究员 Salil Kanhere 提醒，一般民众应保持警觉，留意相关服务的密码变更通知，并提防利用此热门事件发动的社交工程与钓鱼邮件。