PHP高危漏洞迫使多国政府网站下线，AI同时加快攻守双方漏洞发现

法国地方行政机构官网被停用，德国部分政府网站下线；比利时、荷兰、芬兰和捷克则关闭网站以安装安全补丁。这轮紧急处置针对PHP编程语言中的两个可利用漏洞。据半岛电视台报道，攻击者无需密码或合法账户访问，就可通过互联网在运行旧版PHP的服务器上远程执行命令。

美国国家安全局罕见公开警告所有使用PHP的组织：“立即生效，所有在系统中使用PHP的组织都应准备更新，以修复两个严重漏洞。”NSA还建议，无法及时更新的网站应暂时下线。德国联邦数字化与政府现代化部称，为预防风险而将部分网站下线；法国内政部则停用了地方行政机构官网。日本首相高市早苗也在社交媒体上警告PHP风险。这些措施表明，风险处置已直接触及面向公众的行政服务，而不只是政府内部办公系统。

两个漏洞合称PHP2Shell，均通过未经授权访问内存，再利用该访问执行代码。Wiz称，底层缺陷已经存在数十年，证明其可利用性却需要一连串“处于人类研究人员实际能力边界”的步骤。AI扩大了可测试的攻击路径规模，但修复速度仍取决于资产盘点、补丁部署和网站恢复能否跟上。

安全公司Calif与OpenAI合作，于8月11日报告第一个漏洞；Alphabet旗下安全公司Wiz于8月24日报告第二个。据半岛电视台报道，AI模型帮助研究团队把攻击路径测试扩大到程序员单独操作难以企及的规模，使原本难以完成的利用验证成为可能。

PHP基金会称，这是其遇到的最严重漏洞之一，并警告：“工具如今发现漏洞的速度比以往任何时候都快，对防御者和攻击者而言皆是如此，漏洞报告数量还会继续增长。”基金会还呼吁科技公司协调响应，以避免在线服务出现大规模中断。这意味着攻防双方争夺的已不只是单个漏洞，而是发现、披露、修补和利用之间的先后顺序。防御者获得的是补救窗口；攻击者若能调用同类工具，也会缩短寻找可利用路径的时间。

维护与发现能力之间存在明显不对称。PHP被用于超过七成的网站，却由志愿者维护。企业的研究和披露是启动修复链条的前提，这不能成为把责任全推给政府的理由。但此次发现工作依赖安全公司掌握的模型和测试平台，而PHP又由志愿者维护，许多政府部门和普通用户只是这套基础设施的依赖者，发现、资源投入与修复执行之间由此出现明显不对称。半岛电视台没有说明各国是否掌握完整资产清单，也没有比较不同公共机构的补丁测试能力。

下线不是修复，而是以中断换取控制风险。法国地方行政机构官网停用后，依赖这些入口的公众至少在停用期间无法通过原渠道访问相关信息或服务；德国预防性下线部分网站，比利时、荷兰、芬兰和捷克则关闭网站安装补丁，反映了处置方式的差别。报道没有提供停机规模、业务中断时长或访问量，因此无法量化公众付出的代价。这些措施减少了相关网站继续暴露在漏洞下的风险，但完整修复仍取决于补丁能否覆盖所有运行旧版PHP的资产。

半岛电视台的报道没有提供这两个漏洞已用于大规模真实攻击的证据。报道所证实的措施是预防性下线、紧急更新和跨机构警告，而不是政府系统遭到广泛接管。法国地方官网停用到多国安装补丁，说明政府已经把公共服务中断纳入风险处置的代价。当AI继续加快漏洞发现，衡量这场处置是否公平，就不只是发出了多少警告，而是补丁覆盖、恢复效率与公众服务代价之间是否形成相称安排。