全网恐慌48小时，拯救互联网的却是一个“无名之辈”

作者 | Tina 10 月 21 日，全球约七成网站依赖的编程语言 PHP 被曝出两个 CVSS 评分 9.2 的远程代码执行漏洞。各国政府网站下线、医院和学校紧急维护、Cloudflare 在两小时内观测到数十万次攻击尝试。而在补丁得以被数百万台服务器安装之前，一个住在捷克的志愿者，做了最关键的那一步。 1 被提前引爆的危机，埋在结构性失败之上 过去一个月，网络安全专家的公开发言里透着一种少见的恐慌。有人警告，AI 可能引爆一场“黑天鹅”事件；有人被近期集中冒出来的一大批漏洞震住了；还有人担心，Agent 和大语言模型正在展现出发现并利用未知漏洞的能力。 这些声音，轻一点的，是老生常谈的安全建议——及时更新软件、开启双重验证；重一点的，则在网上含糊地谈论 AI 驱动的攻击，感叹“互联网曾经很美好”，甚至流露出末日求生式的恐慌：劝人从银行取出现金、断开网络、囤积耐储存的食品和饮用水、把钱换成黄金和现金，再买一台手摇应急收音机。 约翰斯·霍普金斯大学教授、全球最受尊敬的密码学家之一 Matthew Green 发帖说：“我们正处在电影里的那个桥段：手边能找到的东西，全往僵尸面前扔，只求拖慢它们的脚步。”他还写道：“越来越多人发现，整个互联网就像一堆干透的引火物，之所以还没烧起来，只是因为那些青少年还没找到火柴。” 这些帖子出现的时候，用 AI 工具发现 PHP 漏洞的人还没动手。PHP 是支撑互联网许多部分运行的编程语言。最近几天，，涉及印度网站安全证书提供商 eMudhra、PHP 的替代方案 Node.js、软件开发平台 GitLab、云服务提供商 Railway，以及编程 Agent 平台 OpenCode 等公司和服务，另有多家公司和服务也受到波及。不过，最受关注的仍是 PHP 漏洞，研究人员把它称作 PHP2Shell。Wiz、Calif 和 OpenAI 的研究人员借助 AI 发现了这些漏洞。 Cloudflare 的首席执行官 Matthew Prince 所在的公司，能够大范围观察互联网的整体运行状况。他在网上写道：“在 PHP2Shell 公开公布前的 10 个小时里，Cloudflare 网络观察到数千次漏洞利用尝试。漏洞公布后的 45 分钟内，尝试次数增至数万次；两小时内达到数十万次，现在已经有数百万次。” 这组数字背后，是一场被提前引爆的危机。PHP 安全团队原本计划在次日发布两个严重漏洞的修复补丁，两个漏洞都允许未经身份验证的攻击者在服务器上执行任意代码——安全界所谓“最坏的那一类”：不需要密码，不需要特殊权限，攻击者可以直接接管服务器。 但漏洞信息在补丁发布前遭到泄露，一段概念验证的攻击演示视频开始在网络上流传——不过当时还没有任何技术细节泄露。这段演示来自软件供应链安全公司 Chainguard。 据其 CEO 的说法，他们用公司的 AI Harness 和一个前沿模型，发现了同一批内存破坏类漏洞，所用的提示词不过是一个“基础指令：‘找出 PHP 中的严重漏洞’”。随后，Chainguard 开始与 PHP 维护者合作，确认自己发现的部分问题与漏洞报告相符，并协助测试补丁。“这些补丁非常复杂——这绝不是一个简单的漏洞，他们确实花了好几个月，才做出真正可用的补丁。到了周一，传言开始出现；昨天，事情就彻底失控了。” 他还说：“只要知道某款软件存在漏洞，哪怕它像 PHP 这样庞大复杂，也足以让我们把漏洞找出来。我认为，这很快会成为常态：人们几小时内就能开发出漏洞利用程序，甚至还没弄清漏洞具体藏在哪里。” 2 补丁背后，是一个志愿者 PHP 项目被迫把发布时间从原定的周四提前到周三，留给全球系统管理员的时间窗口被压缩了整整一天。 后果来得极快。德国联邦信息技术中心预防性关闭了多个政府网站，芬兰、法国、比利时等国对公共部门网站采取保护措施，美国 CISA、欧盟 CERT-EU、英国 NCSC 相继发布紧急警告。CERT-EU 在公告中特别指出，许多商用和开源产品以 PHP 作为后端，即使不直接对外提供 PHP 服务也可能受影响。 而在这一切背后，还有一个更令人不安的事实：PHP Foundation 后来承认，其中一个漏洞的修复工作早在 2024 年的一次外部安全审计中就已发现线索，但由于资源不足、决策流程低效、能够深入理解 PHP 引擎内部机制的人太少，修复被拖延了近两年。基金会自己在事后声明中将此称为“结构性失败”。 这个“结构性失败”并没有因为这次危机而被解决。在 Reddit 和 X 上，恐慌之中有一个名字被反复提起：Ondřej Surý。在这之前，没多少人听过这个名字。 软件开发者 Ian Landsman 在 X 上写了一段后来被广泛引用的话：“我跟妻子解释，有这么一个人，世界上大部分 PHP