PHP高危漏洞迫使多国政府网站下线，数字治理问责缺口显形

据BBC报道，PHP编程语言两个严重漏洞的修复方案发布后，多国网络安全机构敦促相关机构安装更新；无法立即修补者被建议将系统下线。芬兰政府公共网页服务因此暂时关闭，荷兰公共卫生与环境研究所（RIVM）的网站被下线，荷兰议会下院网站不可访问；爱丁堡市议会和BBC的相关网页也曾下线。下线警告与公共服务中断相继出现，问题不只在漏洞本身，也在于公共机构能否迅速盘点自身及供应商系统中的PHP依赖并完成修补。

欧盟计算机应急响应团队CERT-EU称，风险评分表明这些漏洞可能导致未经身份验证的远程代码执行，攻击者或借此植入恶意软件并关闭网站。英国国家网络安全中心警告：“如果无法立即修复，组织应考虑将系统下线，直至能够完成全面缓解。”下线可以阻止网站继续对外暴露，却不能证明系统此前未曾遭到利用。Sophos网络安全专家Don Smith指出，各组织还应查找攻击者可能已经取得立足点的迹象。对依赖在线办理事务的公众而言，网站停摆本身就是公共服务的直接损失。

漏洞影响范围仍存在明显盲区。CERT-EU称，漏洞可能波及自2004年发布的PHP 5以来的所有版本，但PHP基金会目前只针对最新版本提供更新，PHP 8.1或更旧版本的用户被敦促升级。PHP不仅运行在公开网站背后，也常隐藏在内容管理系统、共享主机、控制面板和第三方产品内部。Don Smith指出，眼下最棘手的任务不只是安装补丁，而是找出并管理每一处运行PHP的实例。英国国家网络安全中心要求机构安装更新后继续监测第三方供应商发布的安全更新，包括捆绑PHP的设备和软件。这说明一次修补无法替代持续的资产盘点和组件维护。

据BBC报道，这两个漏洞在互联网中潜伏十余年。研究人员花了数周使用先进AI工具，并在8月发现漏洞。Calif和Wiz的研究人员发现了问题；OpenAI称其内部研究人员也在相近时间发现该漏洞，并把它称为“近期记忆中影响最大的安全问题之一”。Wiz称：“前沿模型使这一过程得以实现至关重要，使我们能够在数小时内开发并调整适用于多个应用的有效攻击代码。”Cloudflare首席技术官Dane Knecht表示，已经看到早期攻击出现，正随新的攻击路径更新缓解措施。

漏洞细节周二在社交媒体泄露后，PHP基金会仓促发布公告，原计划当月晚些时候公布漏洞及完整修复方案的节奏被打乱。Calif和基金会参与了OpenAI发起的“Patch the Planet”计划；美国白宫表示，联邦机构正与领先AI实验室合作，加快修复。此次事件显示，私人AI实验室的模型和研究者已成为发现与修复漏洞的重要参与者，但模型能力不能取代清晰的漏洞协调，也不能替公共机构和供应商完成依赖盘点、版本迁移与长期维护。

美国国家安全局、英国国家网络安全中心、CERT-EU、日本国家网络安全机构以及澳大利亚的对应机构分别发布警告或修复建议。问题已不只是机构是否发出警告，而是公共部门能否建立可核验的资产清单、统一修补基线和供应商责任。芬兰政府及荷兰部分公共机构因同一漏洞下线或不可访问，说明拥有专门网络安全机构的政府同样不能把发布建议等同于完成修复。把“下线”作为兜底措施，会把一部分网络安全风险直接转化为公共服务中断。

Wiz估计约70%的互联网受到影响，但BBC无法独立核实这一比例。目前尚不清楚实际攻击的具体规模、具体受影响的PHP版本，以及相关网站完成修补和检查前将下线多久。Cloudflare已报告早期攻击，但网站恢复访问也不能证明系统未曾失陷。公开信息仍未回答三个关键问题：哪些系统实际运行PHP，哪些系统可能已经被利用，谁负责旧组件的长期维护。这次事件暴露的问责缺口，不只在于网页一度不可用，还在于公共机构能否说清自身数字依赖、及时修复，并披露已经发生的风险。