PHP 漏洞在披露前四天被试探

Ars Technica 在 2026 年 10 月 22 日上午 11 点 25 分刊出 Tom Wilson 和 Rafe Rosner-Uddin 的报道，作者单位写的是英国《金融时报》。标题把这组 PHP 问题称为 PHP2Shell。配图是文中使用的一张机柜网线照片，页面把图片来源标为 Getty Images。下面只记已经公开的结果和各方说法，不记利用步骤。

Amazon 称，自己发现有人在弱点向公众披露的四天之前就试图利用它。Amazon 还说，这些缺陷现在正在被广泛利用。文章写，美国国家安全局和英国机构在同一天更早的时候警告，这些漏洞让世界各地的网站处于严重暴露之中。一些欧洲政府据称在打补丁期间把网站下线。文章用的是 reportedly，没有列出哪些政府。维护 PHP 的开发者在同一天更早些时候发布了补丁。国家安全局建议使用这种语言的机构立刻更新，做不到就先下线。

发现这些问题的是两家美国安全公司 Calif 和 Wiz。Alphabet 旗下的 Wiz 估计，这种语言支撑着世界上大约 70% 的网站。这是 Wiz 的估计。文章把 WordPress 写成 PHP 用得这么广的一个原因：它主要用 PHP 写成，并且靠 PHP 运行。英国国家网络安全中心称，这些漏洞有可能让人在没有密码或其他登录凭据的情况下控制网站服务器，并呼吁英国机构立刻行动。这里只保留中心对后果的描述。

OpenAI 在同一天说，考虑到严重程度和 PHP 的使用范围，这是近年来影响最大的安全问题之一。它还说，据其所知，前沿人工智能比攻击者更早发现这些漏洞。下一句是实验室自己的提醒：人工智能可以找出具有互联网规模影响的安全缺陷，同样的能力也可以帮助攻击者更快做出进攻工具。文章写，OpenAI 与 PHP、Calif 和 Wiz 一起核实了漏洞并做出补丁。白宫称，联邦机构正在评估这些缺陷对政府系统和关键基础设施的影响。

两句时间需要分开看。Amazon 说的是向公众披露之前四天已经有试探，并且现在正在被广泛利用。OpenAI 说的是，据其所知，前沿模型比攻击者更早发现。页面把两句话放在一起，但没有写明那四天的试探是在实验室发现之前还是之后。文章也没有写出缺陷在公开之前藏了十多年的具体起算日，只说借助 OpenAI 和 Google 的模型发现时，它们已经有十多年没被发现。模型怎样找到问题，文章没有写成可以照做的步骤，这里也不补。