多国网络安全机构21日发布警告指，网安公司使用人工智能（AI）工具，发现广泛用于网站开发的PHP脚本语言存在两个严重安全漏洞，黑客可能利用这些漏洞夺取服务器控制权。PHP开发团队当天发布紧急安全更新修复漏洞，但黑客近日已尝试发动数百万次攻击，大量网站临时关闭以降低风险，包括法国、英国、日本等国的官方机构网站。中国工业和信息化部（工信部）22日发布风险提示，建议相关单位和用户及时升级至最新安全版本，或采取临时防护措施。

【大公报讯】PHP基金会21日发布紧急安全更新，修复两个严重安全漏洞。据报道，这些漏洞已存在十多年，未经身份验证的攻击者可能利用相关漏洞远程执行代码，夺取服务器控制权，造成敏感信息泄露、业务中断等后果。总部位于美国加州的网络安全公司Calif于今年8月使用OpenAI公司的GPT-5.6 Sol模型发现相关漏洞。同一时间，谷歌母公司Alphabet旗下网安公司Wiz也报告称，其研究团队使用自研工具和谷歌Gemini 4Argon模型发现了这些漏洞。

或影响全球约3000万个网站

PHP是一种广泛使用的服务器端脚本语言。它在服务器上运行，用于生成网页内容、与数据库交互，也被大量集成到其他产品中。在能辨识服务器端脚本语言的网站中，约70%至75%使用PHP。英国萨里大学网络安全中心教授伍德沃德警告说，新发现的安全漏洞可能影响全球大约3000万个网站。网络基础设施公司Cloudflare行政总裁普林斯22日称，近日已检测到数百万次试图利用这些漏洞的攻击行为。目前尚无相关网络攻击造成实际损失的报告。

中国工信部网络安全威胁和漏洞信息共享平台（NVDB）22日发布风险提示，指出PHP存在两个远程代码执行超危漏洞，危害严重。NVDB建议相关单位和用户立即开展全面排查，及时升级至最新安全版本，或采取临时下线、关闭会话上传进度功能、网络隔离、网络访问限制等临时防护措施；加强网络安全监测和管理，及时修改账号、口令和密钥等凭证，防范网络攻击风险。

美国白宫21日发表声明称，正与各联邦机构及主要AI企业合作，保护美国的网络和重要基础设施。英国国家网络安全中心敦促相关机构立即升级系统，若无法及时修复，应考虑暂时关闭受影响网站。澳洲信号局发布警告，敦促企业及用户尽快完成更新。法国、英国、芬兰、荷兰等多个欧洲国家的部分官方机构网站21日纷纷关闭，德国和奥地利等国的部分大学网站也暂时下线。

日本政府22日呼吁各网站运营方采取措施，日本中央和地方政府部门、铁路、金融机构的多个网站暂停访问或暂停部分网站服务，首相高市早苗22日一度关闭个人网站，全日空等多家日本企业亦暂停部分网站服务。

专家：普通用户无需恐慌

PHP基金会近期在保密状态下进行修复工作，原计划22日正式公开相关信息并同步发布安全更新。然而，关于两个漏洞的消息于20日在社交媒体上泄露，一些黑客随即尝试发动攻击，PHP基金会不得不将发布更新的时间提前至21日。澳洲莫纳什大学教授霍达警告说，在这种混乱情况下，网络诈骗风险也将提升。不法分子可能利用重大网络安全事件制造恐慌，诱导用户点击虚假的「安全更新链接」或提供个人信息。

网安专家表示，普通用户无需恐慌，因为PHP运行在服务器上，而非个人上网设备里。如果某个网站暂时打不开，可能是主动避险行为。若网站后续发布了数据泄露通知，用户可根据提示采取更换密码等安全措施。

（综合报道）