潜伏十余年 PHP 高危漏洞外泄 多国紧急下线

当地时间 20 日，一处潜伏十余年的 PHP 高危漏洞信息提前外泄，该漏洞代码最早可追溯至 2012 年的 PHP 5.4.0 版本，默认配置即存在风险，可让攻击者无密码远程控制服务器。漏洞由两家安全企业借助 AI 模型先后独立发现，相关方原本保密协作、筹备补丁，不料漏洞信息提前泄露，黑客抢在补丁上线前发起攻击。

PHP 是主流网页脚本语言，WordPress 等大量建站系统依赖它运行。风险曝光后，荷兰、芬兰、法国、德国、日本等多国紧急关停政 府、港口、医疗机构等相关网站避险。PHP 团队于 21 日正式发布多个版本安全补丁。受事件带动，Cloudflare 等网络安全概念股盘中大涨。

值得注意的是，PHP8.1 及更早旧版本不再提供官方二进制更新，仅开放源码补丁，大量长期无人维护的老旧网站难以完成修复，安全隐患会长期留存。业内同时提示，AI 既可以帮助挖掘漏洞，也有可能被黑客用来批量实施攻击。