南非总统府10月23日宣布，其官方网站已暂时无法访问，此举是为了应对“全球网络安全事件”而采取的预防措施。

据报道，两个关键的PHP漏洞于2026年10月20日在补丁发布之前遭到泄露，使南非数千台互联网服务器以及全球数百万台服务器面临风险。总统府是在泄露三天后、补丁已广泛可用两天后才对这场危机作出回应。

截至2026年10月23日周五，南非最大的几家网站托管公司仍在处理此事的后续影响。不过，这些公司主要依靠网络应用防火墙及其他缓解措施，确保客户不会面临风险。

PHP是一种流行的开源服务器端脚本语言，专为构建网站和网络应用而设计。PHP最初是“Personal Home Page”的缩写，如今则是一个递归式回溯缩写，意为“PHP: Hypertext Preprocessor”。

这两个漏洞编号为CVE-2026-109618和CVE-2026-109619，可使威胁行为者在服务器上远程执行代码，被称为“PHP2Shell”。

通过Shodan搜索南非运行PHP的联网服务器，结果显示超过9800台，几乎涵盖该国所有主要托管商，包括亚马逊数据服务南非公司（Amazon Data Services South Africa）、Afrihost、Xneelo和微软（Microsoft）。两个漏洞在通用漏洞评分系统第4版中均获得9.2分（满分10分）。

漏洞影响究竟有多大

虽然这些漏洞可实现远程代码执行，但CrowdStrike解释称，成功利用漏洞仅能在网络服务器用户的安全上下文中执行命令。攻击者若要完全控制存在漏洞的服务器，还必须找到并利用权限提升漏洞。

不过，CrowdStrike表示，仅凭这些PHP漏洞，攻击者就已能够窃取凭据、安装网页后门（web shell）并进行横向移动。

与此同时，亚马逊威胁情报团队（Amazon Threat Intelligence）发现了一次可追溯至2026年10月17日的PHP2Shell利用尝试，比CVE信息泄露早了四天。

亚马逊表示：“该利用尝试来自与商业匿名网络相关联的IP地址。在漏洞仍处于保密禁令期间，攻击者通过匿名IP地址攻击蜜罐，这表明该活动由威胁行为者实施。”

借助人工智能发现的关键漏洞

PHP2Shell由专业进攻性网络安全公司Calif和云安全公司Wiz在ChatGPT开发商OpenAI的协助下发现。

OpenAI表示：“Calif在我们的‘拯救地球补丁计划’（Patch the Planet）中使用GPT‑5.6 Sol发现了一个关键缺陷，Wiz也独立发现并报告了这两个漏洞。”

然而，漏洞信息在周二泄露，早于原定10月22日的协调披露日期，致使整个互联网仓促部署缓解措施。供应链安全公司Chainguard单方面打破保密禁令，在其软件中发布已修补的PHP版本，使局面更加复杂。

Chainguard是在保密禁令下获得漏洞早期预警的数家公司和安全厂商之一。此类禁令属于行业标准做法，目的是让尽可能多的终端服务提供商在漏洞被攻击者普遍知晓之前有机会部署补丁。

Chainguard首席执行官丹·洛伦克（Dan Lorenc）在领英（LinkedIn）上发文解释其打破禁令的决定时表示，安全厂商周二已确认，现实中已出现PHP2Shell漏洞被利用的情况。此前，有人在Hacker News上发帖，列出了CVE编号和警告，但几乎没有其他内容。发帖者此后已为泄露信息道歉。

在最初的恐慌过后，人们发现，为PHP2Shell制作通用利用程序并不像最初设想的那样容易。尽管这些漏洞依然严重，亟须修复，但危险程度没有早期泄露信息所暗示的那么急迫。