PHP出现严重安全漏洞及应对措施

近日，广泛应用于Web应用程序的编程语言PHP被发现存在两个严重的安全漏洞，被昵称为“PHP2Shell”。这两个漏洞在CVSS v4中的评分均高达9.2。据分析，攻击者可以通过这些漏洞在无需登录的情况下执行恶意代码，甚至完全接管受影响的服务器。在补丁公开之前，已经观察到了利用该漏洞进行攻击的尝试。

针对上述漏洞，PHP官方团队已于2026年10月21日紧急发布了修复版本。由于漏洞影响多个旧版本PHP，安全机构警告称，在补丁公开后，大规模攻击可能会迅速随之而来。目前，芬兰、法国和荷兰等多个国家已采取预防措施，包括暂时将部分网站下线。日本首相西园寺琢（Takichi Saionji）也在X平台上发布了关于PHP相关风险的“紧急行动重大请求”。

漏洞发现过程与技术支持

OpenAI表示，其AI模型协助发现了这些影响互联网的PHP安全漏洞。OpenAI在周三的博文中称，过去两个月里，该公司领导了一个由PHP维护者、安全研究人员和安全公司组成的联盟来处理这些漏洞。PHP基金会也对OpenAI及其他行业合作伙伴和网络安全研究人员表示感谢。

具体发现路径显示，安全公司Calif在OpenAI安全计划“Patch the Planet”中，利用GPT-5.6 Sol模型发现了其中一个关键漏洞。此外，安全公司Wiz也独立发现并报告了这两个漏洞。OpenAI将这些漏洞描述为近期记忆中最具影响力的安全问题之一。

PHP基金会的运营现状

在应对安全漏洞的同时，PHP基金会正面临严重的资金短缺。执行董事Elizabeth Barron在2026年10月23日接受路透社邮件采访时透露，她是基金会唯一的全职员工，其余14名承包商大多为兼职。尽管PHP由广泛的开发者社区维护，且基金会通过委托外部专家进行开发和代码审查，但目前的人员和资金限制已对项目的支持和安全响应产生压力。

根据2025年财务报告及10月21日发布的安全响应总结，PHP基金会的问题不仅在于人员短缺，还涉及确保专家工作时间所需的资金不足。