被认为支撑全球约70%网站运行的编程语言PHP，近日曝出两处高危安全漏洞，引发多国安全机构集中预警，全球网络安全风险随之升温。

在欧洲，部分政府机构、医院和学校出于防范攻击风险的考虑，甚至一度直接关闭网站或限制外部访问。

相关漏洞信息最初出现在公开论坛，随后得到PHP维护团队确认。韩国互联网振兴院（KISA）、美国网络安全和基础设施安全局（CISA）均建议相关用户尽快升级至修复版本；英国国家网络安全中心（NCSC）和欧盟CERT-EU也相继发布风险警告。

韩国安全公司Theori表示，此次披露的“PHP2Shell”并非源于特定Web应用，而是来自PHP引擎本身的缺陷。攻击者无需额外认证，即可远程在服务器上执行任意代码、接管系统，甚至读取进程内存。

受影响版本包括PHP 8.2.34、8.3.35、8.4.26、8.5.11及此前版本，以及已结束支持的PHP 8.1及更早版本，其中涵盖7.x和5.x。PHP方面建议用户立即升级至已完成修复的版本，如8.2.35、8.3.36、8.4.27、8.5.12等。

报道称，该漏洞可能已潜伏超过10年，此次由AI辅助发现，并由Google收购的安全公司Wiz以及OpenAI主导的项目对外披露。

据TechCrunch报道，Wiz借助其安全AI代理“Wiz Atlas”、Google的“Gemini 4 Argon”以及OpenAI的“GPT-5.6 Sol”发现了其中一处漏洞。与此同时，安全测试公司Calif则通过OpenAI推动的“Patch the Planet”项目发现了另一处PHP漏洞。该项目旨在提前识别并修复开源软件缺陷。

Calif表示，其利用OpenAI的AI模型GPT-5.6 Sol发现了相关漏洞。

据The Atlantic 10月21日（当地时间）报道，芬兰卫生部门、鹿特丹港、巴黎警方、在线社区4Chan等欧洲多地政府机构、医院和学校网站，为降低被攻击风险，已采取限制访问等应对措施。美国国家安全局（NSA）也建议，无法立即修复PHP漏洞的企业可暂时下线相关服务。

The Atlantic指出，补丁全面部署可能仍需数周时间。在此期间，数千万台服务器、数据库及相关设备可能持续暴露在攻击风险之下，且已有疑似借助AI实施漏洞利用的尝试被捕捉到。

网络安全公司Palo Alto Networks高级副总裁Sam Rubin表示，PHP是支撑互联网运行的基础技术之一。

The Atlantic分析称，互联网长期存在大量漏洞却仍能维持某种平衡，原因在于高水平黑客相对稀缺，且漏洞发现与利用通常需要时间；而AI正在打破这一平衡。

报道还称，过去一年，软件漏洞月度披露数量已翻倍。部分估算显示，从黑客发现漏洞到将其用于真实攻击的时间，已从过去的“数周”缩短至“数小时”；在AI自动化能力加持下，一次入侵甚至可能在39秒内完成。

报道指出，防守方同样在使用AI，但专家认为，AI可能进一步加剧攻防失衡：攻击者在采用新技术时几乎没有顾虑，而企业出于风险控制考虑往往必须更加谨慎。以医院或电力网络为例，其难以承受AI安全工具误关生命维持设备或引发停电的后果。

值得注意的是，在PHP漏洞公开的同一天，被广泛使用的JavaScript开发框架Node.js开发团队也披露了多项高危漏洞。