据《卫报》2026年10月23日报道，PHP编程语言中的一个严重漏洞促使网络安全高管发出“漏洞海啸”警告。这些警告被一些专家称为“黑色十月”，指向一个新时代：人工智能帮助攻击者比以前更快地发现和利用软件缺陷。这个关于AI辅助黑客攻击的PHP漏洞故事表面上属于技术问题，但其后果会波及那些每天只是使用网站的普通人。

PHP漏洞与“黑色十月”警告说了什么

PHP是一种免费的开源语言，运行着互联网中很大一部分网站。关于该漏洞的报道引用了全球约70%的网站使用PHP这一数字，这正是潜在暴露面如此受关注的原因。报道称，这些漏洞允许未经身份验证的远程代码执行。通俗地说，攻击者可能无需密码就能控制受影响的服务器。

有必要理性看待这些数字。一些技术评论人士指出，尽管该漏洞很严重，但“互联网70%受到影响”这一头条说法夸大了实际情况。PHP使用广泛，但并非每个网站都运行易受攻击的配置。报道还指出，安全修复程序已经发布，据报道，一个由PHP基金会贡献者组成的团队花了约两个月时间开发补丁。

《卫报》的文章聚焦于安全高管的反应。他们的担忧与其说是针对这一个漏洞，不如说是针对它所预示的趋势：大量被发现漏洞的洪流，他们将其称为“漏洞海啸”。

AI如何加速漏洞发现与利用

多篇关于PHP漏洞的报道称，AI工具帮助发现了这些漏洞。这一点很重要，因为发现一个严重漏洞传统上需要熟练的研究人员花费大量时间。自动化系统可以读取大量代码、标记可疑模式并全天候测试各种想法。

令人担忧的是以下三个阶段之间不断缩短的间隔：

  • 发现： AI辅助工具在广泛使用的代码中发现漏洞。
  • 披露与修补： 维护者需要时间来理解、修复并发布更新。
  • 利用： 攻击者可以使用同类工具构建可用的攻击。

当发现速度加快，而修补仍依赖人类团队时，一个漏洞已被知晓但尚未在真实网站上修复的时间窗口可能会扩大。伤害就发生在这个窗口期。网站所有者随后必须迅速应用更新，而许多人并不会立即这样做。

这并非防守方或攻击方所独有。同样的技术可以帮助维护者在犯罪分子之前发现并修复漏洞。高管的警告是，漏洞发现的数量可能会压垮负责修补的人员。

被利用的网站如何让普通用户面临风险

你不需要运行PHP服务器才会受到PHP漏洞影响。如果你使用的网站被入侵，攻击者可能会在你信任的基础设施上获得立足点。取决于网站的功能，风险可能包括：

  • 登录凭据被盗： 攻击者可能捕获在受感染网站上输入的凭据，然后用于尝试登录其他服务。
  • 页面被篡改： 被劫持的网站可能被篡改，以显示虚假登录表单或推送恶意下载。
  • 极具说服力的网络钓鱼： 看似来自熟悉网站的链接和消息可能会指向危险之处。
  • 个人数据泄露： 存储客户信息的网站如果被攻击者侵入，可能会泄露这些信息。

关键在于，网站的名称和地址可能看起来完全正常。一个被入侵的合法网站可能比明显的假网站更具说服力，因为通常的信任视觉线索仍然存在。

如果你想了解一个组织被入侵后暴露的个人数据可能扩散到什么程度，我们对影响380万患者的Unlimited Technology Systems数据泄露事件的报道展示了此类事件可能达到的规模。

这对你意味着什么

你无法为你并不拥有的网站打补丁，因此实际目标是：如果你使用的某个网站被入侵，尽量限制损害。你自己的设备和账户才是你能控制的部分。快速演变的威胁更青睐持续做好的简单习惯，而不是复杂的设置。

保持冷静也有帮助。一个严重漏洞和一声响亮警告并不意味着你的账户已经被入侵。它们意味着基本措施比以往任何时候都更重要。

你可以做什么：更新、强密码、双重认证和钓鱼意识

立即更新一切。 为你的操作系统、浏览器和应用程序安装最新更新，并尽可能开启自动更新。许多攻击之所以得逞，是因为修复程序已经存在但未被应用。

使用唯一密码。 如果一个网站被入侵而你重复使用了该密码，攻击者可以在其他地方尝试它。密码管理器可以让为每个账户设置唯一、强密码变得现实可行。

开启双重认证（2FA）。 即使密码被盗，第二重因素也可以阻止攻击者登录。优先保护电子邮件、银行以及任何可以重置其他账户的账户。

对意外链接保持怀疑。 如果电子邮件、短信或消息中包含你未预料到的链接，即使来自你通常信任的网站，也不要点击。自己输入地址或使用书签访问该网站，并留意异常的登录提示或下载请求。

关注你的账户。 查看登录提醒和账户活动，如果你使用的服务宣布发生安全事件，请及时更改密码。

底线

这个关于AI辅助黑客攻击的PHP漏洞故事提醒我们，软件缺陷正以更快的时间线被发现和利用。你无法控制网站所有者修补的速度，但你可以控制自己的暴露风险。今天就更新你的操作系统、浏览器和应用程序，开启双重认证并使用存储在密码管理器中的唯一密码，并在点击意外链接前三思，即使它们看起来来自你信任的网站。