PHP曝严重安全漏洞……各国企业和政府紧急应对

借助AI发现漏洞，各方启动应急处置

广泛用于网站开发的编程语言PHP被发现存在两项严重安全漏洞，黑客无需登录即可夺取系统控制权。在全球服务器端编程语言可识别的网站中，约七成使用PHP。为防范大规模黑客攻击，韩国政府已将民间领域网络危机警报上调至“注意”级，并启动应急响应机制。

综合韩国科学技术信息通信部10月22日的说明及外媒报道，PHP开发团队于当地时间21日发布安全更新，修复了两项可让黑客绕过身份认证、通过向服务器发送特制请求远程执行任意指令的漏洞。此前，美国网络安全公司Calif于今年8月利用OpenAI的人工智能模型GPT-5.6 Sol发现其中一项漏洞，并向PHP开发团队报告。

由于攻击者无需掌握账号和密码即可入侵服务器，这两项漏洞在通用漏洞评分系统（CVSS）4.0中的评分均为9.2分，满分为10分，属于最高风险等级“严重”（Critical）。

尤其令人担忧的是，漏洞出在执行PHP代码的程序本身，因此即使网站应用程序的安全防护做得完善，仍可能受到攻击。黑客一旦利用这些漏洞，便可能在服务器中秘密植入WebShell等恶意程序，或造成客户信息泄露、网站内容遭篡改、服务中断等严重后果。

PHP于1995年在加拿大问世，是一种用于开发和运行网站的开源编程语言。用户登录网站或发帖时，使用PHP编写的程序会在服务器上处理相应请求。基于PHP的网站搭建与管理工具WordPress广泛应用于韩国中小型网店、企业网站，以及部分公共机构和学校的网站。

韩国科学技术信息通信部和韩国互联网振兴院（KISA）已启动紧急应对。21日晚，政府向网络威胁信息分析与共享系统（C-TAS）的会员单位，以及依法负有首席信息安全官（CISO）申报义务的企业发出建议，要求尽快安装安全更新。C-TAS约有5900家企业等单位参与。22日中午12时起，政府将民间领域网络危机警报上调至“注意”（第二级），安排应急处置小组24小时待命。青瓦台国家安保室当天也召开了由第三次长宋基昊主持的民官军网络安全紧急对策会议，检查各领域的应对情况。

韩国政府敦促各企业和机构将其运营的所有网站及系统中的PHP更新至最新版本，仍在使用PHP 8.1及以下已结束官方常规安全支持版本的，应升级至仍受支持的版本。网络威胁情报平台AhnLab TIP公布的数据显示，韩国境内识别出的PHP主机为11.2183万台，在该统计中位列第六，排在美国（约55万台）、中国（约24万台）、德国（约19万台）、日本（约15万台）和法国（约12万台）之后。

各国政府也纷纷采取应对措施。美国白宫于当地时间21日发表声明称：“美国政府正密切跟踪事态发展，并与联邦机构及主要‘超智能’（SI，即人工智能）研究机构协调，加快安全补丁发布，保护美国的网络和关键基础设施。”德国、法国等部分欧盟国家还在完成补丁安装前，暂时关闭了部分行政机构网站。不过，韩国行政安全部表示，韩国中央和地方政府的信息系统大多采用基于Java语言的“电子政府标准框架”，因此受到此次漏洞的影响相对有限。

专家指出，缺乏安全人员的中小企业，以及长期无人维护的网站，可能成为网络安全盲区。高丽大学信息保护研究生院教授金昇柱表示：“中小企业或初创企业往往没有专职安全人员，即使收到漏洞报告，也不容易判断风险。”他说：“可能还有不少网站在早年建成后便被遗忘，长期无人维护。与大企业相比，中小企业缺乏自行应对的能力，政府应通过远程检查等方式，提供切实的支援。”

宣谭恩 朴贤贞 徐英智 记者