週三，一種已有數十年歷史的開源網路技術 PHP，因兩個漏洞在沉睡多年後，最近才被研究人員找到可利用的方法，幾乎導致互聯網癱瘓。
這兩個漏洞被稱為 PHP2Shell，官方編號為 CVE-2026-109618 和 CVE-2026-109619。簡單來說，這些漏洞允許任何懂得如何利用它們的人，在無需密碼的情況下入侵運行 PHP 的線上系統，例如網站或面向互聯網的伺服器，並存取或修改其中的資料。
從事態的嚴重程度來看，這次事件相當嚴重，迫使全球數百萬人趕在惡意駭客利用之前匆忙為系統打補丁。
負責維護 PHP 網絡軟件的 PHP Foundation 於週三公開發布了修復補丁，安裝後可阻止面向網絡的伺服器遭受攻擊。該基金會此前已提前向依賴 PHP 的一些最大互聯網公司和網站託管商提供了修復的先機。
由於數週以來的幕後溝通和業內謹慎協調，全球迄今總體避免了大規模互聯網被利用的情況。從週三開始，各國政府開始敦促公民和擁有網站的企業採取行動，降低自身風險。銀行、零售商、遊戲網站、網店、醫院以及一些政府機構都關閉了伺服器，以防止遭到攻擊。
但安全研究人員警告稱，事情尚未結束，全球仍有大量系統尚未打補丁，仍然容易遭到入侵和數據竊取。
這也很可能不是最後一次重大的互聯網軟件危機。一些人預計，人工智能的出現將迅速發現更多尚未被識別、等待被找到並被濫用的漏洞。
發生了什麼？
Calif 的安全研究人員在 PHP 中發現了兩個漏洞。PHP 是一種全球廣泛用於建構網站和網頁應用程式的程式語言，適用於互聯網以及公司網路中本地託管的系統，例如內網和內部網站。
這兩個漏洞最早於 2024 年被發現，但當時並未被認為可被利用，因此未進行修補。安全研究人員最近找到了利用它們的方法，並提醒軟體開發方盡快修復。
Calif 已通知 PHP 基金會，基金會隨即開始修復漏洞並協調披露。基金會透過在嚴格保密的禁令期內提供相關資訊和補丁——即在特定截止日期前保持機密——讓大型企業有機會優先安裝修復程式。
為什麼這些漏洞如此嚴重？
PHP2Shell 的嚴重性在於，它可透過互聯網遠端被濫用，且受害者無需點擊連結或開啟檔案。這被稱為遠端程式碼執行，是最具破壞性的漏洞類型之一，因為它們可能讓世界任何地方的駭客幾乎完全控制受影響且未修補的系統。
更糟的是，這些特定的 PHP 漏洞使得攻擊者可以透過互聯網，在無需密碼或其他憑證的情況下入侵任何未打補丁的系統，這被稱為未經身份驗證的訪問。
這將使惡意駭客能夠在電腦上植入惡意軟體，例如竊取資料，或僅為維持一個長期據點，以便日後再次返回。
為什麼 70% 的網頁受影響？
PHP 只是眾多古老但仍能正常運作的技術之一，這些技術經歷了互聯網的多輪演進與多代更替，如今已無處不在，幾乎像是支撐互聯網大部分運轉的膠水。很多時候，這些工具由開源維護者開發，而他們並未因這項工作獲得報酬，因此也負擔不起第三方安全審計——但企業仍廣泛依賴這些項目，卻未為其提供資金支持。
Were these vulnerabilities discovered by artificial intelligence?
Calif 的安全研究人員因今年早些時候在對 PHP 代碼進行安全審計時發現這些漏洞而獲得認可。Calif 參與了由 OpenAI 和雲安全巨頭 Wiz 發起的 Hack the Planet 計畫，後者隨後驗證了 Calif 製作的概念驗證利用代碼。
在 Calif 的說明文章中（還配有漫畫——很棒，值得一看），研究人員解釋說，人工智能被用於輔助利用該漏洞，但大部分工作仍依賴研究人員已有的知識，以及他們對 PHP 代碼庫和漏洞利用歷史的熟悉程度。
Calif 寫道：「沒有任何模型僅靠簡單提示就能直接挖出‘所有漏洞’。至少目前還不行。」
為何這些漏洞在披露前已被利用？
儘管各方努力將漏洞細節保密至週三，但看起來在補丁發布前，PHP2Shell 已經出現某些利用行為。
由於規模龐大、可見度極高，亞馬遜對線上威脅擁有巨大的洞察力。該公司在一篇部落格文章中表示，它在 PHP 补丁發布前約一週就檢測到 PHP2Shell 的利用跡象，這表明在漏洞細節廣泛公開之前，某地某人已知如何利用它們。亞馬遜表示，目前尚不清楚駭客是如何得知這些漏洞的，但防禦者應回溯至 10 月 17 日尋找被利用的證據。
關於事件經過，有幾種說法。一旦漏洞被修補，補丁細節就可能立即變得明顯，尤其是在 PHP 這種開源代碼中，任何人都可以公開查看。利用這些漏洞可能並不容易，但知道漏洞在哪裡以及它是如何被修復的，可能會幫助惡意駭客判斷攻擊目標並開發利用代碼。
也有可能是在禁令期間某處出現了洩露，或者溝通出現了中斷。開源社區規模龐大，而以這種方式控制資訊依賴於各方的誠信配合。
此外，這些漏洞也可能被駭客提前獨立發現，或透過間諜活動得知。
研究人員表示，要讓這些漏洞真正可被利用需要大量工作，將漏洞武器化一直是一個挑戰——但並非不可能——這也解釋了為何我們至今尚未看到大規模利用的場景。
互聯網大範圍停擺，但正在恢復。我們是否躲過了最糟糕的情況？
現在下結論還為時過早，但目前沒有出現大規模利用跡象，這至少是個令人鼓舞的信號——不過我們還沒有完全脫離危險區。
網路安全與監測公司 Cloudflare 的首席執行官 Matthew Prince 本週表示，公司在漏洞披露後，見到利用這些漏洞的嘗試數量呈指數級增長。這也從側面說明，惡意行為者正以多快的速度試圖利用這些缺陷為自己謀利。
PHP 不僅用於 Web 伺服器，也用於開發工具、命令行和終端軟體包，以及路由器、儲存設備和企業安全設備（如防火牆和 VPN）所使用的其他軟體組件。
可預期，PHP2Shell 的利用後續仍會出現，因為規模較小的 IT 團隊和獨立開發者可能更新得更慢。與此同時，許多將 PHP 集成至自家產品和軟體的公司也需要更新，這將經歷一段過渡期。
隨著越來越多設備和系統完成更新，攻擊面會逐漸縮小。但這些漏洞的連鎖影響仍可能持續多年，尤其是在那些無法更新的遺留系統中。
这种情况还会再次發生嗎？
在我擔任安全記者的這些年裡，這是一場罕見的、足以讓互聯網停擺的日子。2016 年，龐大的僵尸網絡向互聯網註冊機構 Dyn 發起垃圾流量攻擊，導致大量頂級網站服務幾乎停擺。2017 年，朝鮮使用洩露的美國政府駭客工具感染了英國醫療系統並投放勒索軟體。2024 年，一次故障的 CrowdStrike 更新引發了全球大規模宕機，導致全球大多數 Windows 電腦同時崩潰。
從各方面來看，得益於 PHP2Shell，互聯網避開了本可能極其痛苦且破壞性極強的一天。但這很可能並非未來影響網絡的最後一次重大事件，而或許是利用遺留技術弱點的一系列事件的開端。在很大程度上，這是因為這些古老但無處不在的軟件本身存在固有缺陷，而這些缺陷尚未被發現，再加上人工智能工具使發現漏洞變得更加容易。
PHP 與其他數十年前的網頁程式設計語言和技術一樣，屬於「記憶體不安全」軟體，這意味著它們可能遭受一整類漏洞攻擊，導致軟體從記憶體儲存中洩露或溢出敏感資料。美國國家安全局表示，約 75% 的正被積極利用的漏洞都利用了與記憶體相關的缺陷，也就是說，駭客經常使用這類漏洞。
這推動了業界轉向使用記憶體安全語言，例如 Python、Rust 和 Swift，這些語言不像記憶體漏洞那樣容易被濫用。因此，這些語言在很大程度上對仍影響其前輩的大量漏洞具有免疫力。
但這仍然留下了互聯網中相當大的一部分，運行著 PHP、媒體和視頻編解碼器、壓縮庫，以及其他數十年前的軟體——而當這些技術出問題時，會對整個網絡產生巨大影響。