Hello 大家好，我是莊也，歡迎您收看莊也雜談。
2026年10月21日：全球互聯網的集體“熄燈”
咱們今天呢，把日曆翻回到上週三，也就是2026年的10月21日。就在那一天，全世界的互聯網突然出現了極其詭異、甚至讓人感到窒息的一幕。從歐洲到北美，再到亞洲，一大批政府核心網站和知名的互聯網平台，就像事先約好了一樣，在同一天之內成片成片地黑了屏。
咱們來看看當天集體熄燈的都有誰：
- 英國整整32項政府在線服務突然下線，愛丁堡等地方議會的服務也是集體停擺；
- 再看法國，法國各地的省政府、税務局和國家氣象局網站，通通掛出了維護頁面；
- 法國邊上的比利時，它的外交部的網站也打不開了；
- 視線再放到荷蘭，歐洲第一大港鹿特丹港它的官網，以及荷蘭全國民眾辦政務用的數字身份登錄系統DigiD全都斷聯。最不可思議的是，連負責保衞國家網絡安全的荷蘭國家網絡安全中心，它自己的官網居然也黑了；
- 然後咱們把目光再放向北美，維基百科的部分頁面以及知名論壇4chan也是相繼地中斷；
- 再看一下我所身處的加拿大，加拿大統計局以及創新科學和經濟發展部的官網，還有魁北克水電局全部進入關機狀態，怎麼刷都刷不進去。這裏面最黑色幽默的就是，就連那個平時負責給加拿大人民拉響網絡安全警報的加拿大網絡安全中心，它自己的官網也掛出了無法訪問的牌子；
- 然後咱們把鏡頭再轉到亞洲，日本的彈幕視頻網站Niconico、插畫網站Pixiv，還有精靈寶可夢和賽馬娘這些熱門遊戲的網站呢，也紛紛停服維護；
- 而在南亞的尼泊爾也發生了同樣的事，數千個政府網站，在同一天從公網上集體蒸發。
就在這成千上萬的關鍵網站下線的同時，互聯網上也徹底炸鍋了。中文圈裏面瘋傳一篇題為《剛剛 全球互聯網已經被AI攻陷 史上最黑暗的48小時來了》這麼一篇文章，在全網瘋傳。莊也的一個朋友呢那天也把這篇文章轉發給我，我一看把我嚇出一身白毛汗。
這文章一開頭就用極具衝擊力的語言寫着：“就在昨天，全世界一半的互聯網已經癱瘓，AI已經入侵整個人類世界。”這篇文章把這兩天稱為人類網絡安全史上的“黑色十月”，宣稱這是一場沒有人類參與的世界大戰，這裏面沒有人類罪犯，作惡的是一羣永不知疲倦的AI智能體，還説支撐全球70%網站的代碼倒塌、美國華爾街緊急拔網線，甚至引用某些網友的話來感嘆“互聯網安息吧”。看着這文章給我嚇得呀，一句句觸目驚心的描述，然後再看一看身邊真真切切的這些打不開的政府網站，真的讓人後背發涼。
那問題來了：難道我之前預言的像科幻故事一樣的AI入侵人類世界的戲碼，真的在2026年10月份提前上演了嗎？這次各國政府網站同時大規模的斷網，真的是被所謂的AI智能體大軍給攻陷了嗎？全世界一半的互聯網真的已經癱瘓了嗎？而且那天在幕後按下關停鍵，導致各大政府網站、各大平台紛紛下線的到底 affiliate 是誰？這裏面的主角到底是人還是AI？這背後到底藏着怎麼樣令人絕望的真相？
謎底揭曉：不是被攻陷，而是預防性主動拔網線
好，很多問題，咱們就廢話少説，直入主題。首先咱們先來揭曉那個讓人意想不到的答案：
10月21日那天，這些網站絕大多數它們是下線了。這些下線的網站呢，不是被黑客打下來的，更不是被什麼AI大軍攻陷的，而是各國政府和各大機構的技術人員自己親手拔掉的網線。
聽到這，你肯定更想不通了：這好麼樣的，為什麼要自己拔自己的網線呢？這到底出了什麼天大的婁子呢，能讓歐洲、北美、亞洲這些政府和企業，寧可政務停擺、寧可生意不做、寧可挨民眾罵，也要在同一天集體拉閘呢？
要想解開這個謎團，咱們得先花2分鐘認識一下這場風暴真正的中心——PHP。
PHP實際上是縮寫，它的英文是Hypertext Preprocessor，超文本預處理器。當然這個不懂IT的朋友呢，聽到PHP這三個字可能一頭霧水，但是其實你每天都在和它打交道。如果咱們把一個網站比作一輛汽車，這個PHP呢就是藏在引擎蓋下的那台發動機。你平時看不見它，但是當你在網站上面輸密碼點登錄，或者是往購物車裏面加一件商品，或者是在政府網站裏面提交一份表格的時候，這背後往往就是PHP這台發動機在幹活。
那麼這台發動機到底有多普及呢？目前在全球所有能識別出後台編程語言的這個網站裏面，接近70%用的都是PHP。大家非常熟悉的建站系統WordPress，它的底層就是PHP，而光WordPress這一家呢就佔了全球網站總數大約40%。
然後，正是PHP這個網頁後台編程語言，這台驅動着大半個互聯網的發動機，被爆出了兩個——您記住這個數字——兩個極其致命的底層漏洞。安全界給這兩個漏洞合在一起起了一個代號，叫做PHP2Shell。什麼意思？就是説順着PHP這道門，黑客能夠直接拿到Shell的權限。Shell權限就是系統底層控制權，相當於黑客想幹嘛就幹嘛，因此説叫這麼一個名字。
好，兩個漏洞。這兩個漏洞分量到底有多重呢？這批漏洞完全可以説躋身PHP甚至整個軟件史上被發現的最嚴重的漏洞之一。看到這我估計你就明白了各國政府為什麼突然慌了神：原來是全球大半個互聯網共同的那台發動機，突然被發現埋有一顆隨時會炸的定時炸彈。
剖析PHP2Shell：地基裏面的兩道致命裂縫
那麼接下來咱們肯定要問：這兩個讓人心驚肉跳、把全世界都嚇得集體拔網線的漏洞到底是什麼？為什麼那麼多平時防得像鐵桶一樣的政府網站，這次連還手的餘地都沒有，只能乖乖地拔網線呢？
為了講清楚這個問題呢，咱們當然不能給您講枯燥的代碼，咱們就打個比方。我給這兩個漏洞起個名字，叫做“來自地基裏面的裂縫”。
這樣咱們可以想象一下：假如説整個互聯網是一個小世界，這個世界呢有千千萬萬棟房子，從戒備森嚴的政府大樓、銀行金庫，到街邊的小餐館，其中有七成呢都打在同一個地基之上，這個地基呢叫做PHP。咱們就看這些大樓，平時為了防賊，政府大樓和大公司它們都在自己的一樓的大門之上下了血本，裝着最頂級的防盜門，什麼指紋鎖、高清監控，門口還僱了24小時巡邏的保安。這個對應到網站技術上，實際上就相當於網站自己寫的登錄驗證、密碼加密和權限檢查。你看，按理説呢這小偷手裏面沒鑰匙，他連大門都摸不進去，對吧？
但是要命的是呢，這次的問題偏偏不在大門上，而是在地基裏面。地基裂開了兩道大縫，那壞人呢根本不需要走你家大門，也不需要撬你家的鎖，人家直接從房子底下鑽到屋子裏面來了。
我前面只是一個比方，咱把這個比方對應到技術事實上：這兩個漏洞全都出在PHP的核心引擎裏面，而且在你網站自己的程序開始運行之前，它就已經被觸發了。這意味着什麼？這意味着黑客根本不需要知道你的賬號密碼，也不需要登錄，只要你的房子蓋在PHP這個地基上，哪怕你網站自己的代碼寫得再完美無缺、沒有任何的漏洞，一點用都沒有，在黑客面前它是一樣的脆弱。
好，搞清楚了這個讓人絕望的大前提，咱們再重新拿起放大鏡，趴下來好好看看它這個地基裏面這兩道裂縫到底是什麼東西。
第一道裂縫：CVE-2026-109618
先看這第一道裂縫，它的官方漏洞編號叫做 CVE-2026-109618。官方的技術描述它是“內存不足導致的數據損壞”。簡單來説，就是PHP在處理一個網頁請求的時候呢，如果突然撞上了內存不足的問題，那麼系統為了自保就會緊急中斷，跳出當前的工作。可是如果這個中斷的時間點，剛好處於系統內部的數據只處理了一半這麼一個混亂狀態的時候呢，就會出大婁子。攻擊者如果此時在這些殘缺的數據中隱藏着惡意指令，那麼系統就被攻破了。
這樣，咱們舉一個簡單易懂的例子你就聽明白了：這就好比你去銀行的辦事大廳窗口辦業務。普通人去銀行櫃枱辦業務呢，都是遞給銀行櫃員薄薄的一張紙。但是黑客不一樣，他利用網站允許上傳文件的通道，一次把成噸成噸的廢紙材料一股腦塞進了窗口。這些廢紙中呢夾藏着私貨，也就是一些惡意的指令。銀行的辦事員哪見過這陣仗，整個人瞬間崩潰，大喊一聲“我不幹了”，然後當場撂挑子跑路了，這就是所謂的內存不足。
等辦事員跑路的那一瞬間，因為他跑得太急，把抽屜裏的公章鑰匙全落在桌面上了，而且桌上那份最高權限的文件剛剛只蓋了一半的印章，還沒來得及撕毀或者鎖起來。這個時候，保潔阿姨過來打掃殘局了。那阿姨根本不懂業務，看到桌上擺着鑰匙和蓋了一半的文件，以為這就是領導交代好必須馬上送過去執行的加急任務。這時候，它這個文件裏面其實早就藏着一份被黑客寫的惡意指令的便籤紙，比方説“請給我的賬號轉賬多少多少錢呢”，或者説“把某個賬號的密碼告訴我”這種惡意指令。這保潔阿姨看都沒看呢，直接拿着這串指令和鑰匙，一路綠燈送進了後台的核心機房。於是整個系統的最高控制權，就這樣被黑客借刀殺人，輕輕鬆鬆拿下來了。
第二道裂縫：CVE-2026-109619
看完了這第一道裂縫，咱們緊接着説第二道裂縫。這第二道裂縫，它的官方編號叫做 CVE-2026-109619。官方描述它叫做“通過殘留的全局狀態實現遠程代碼執行”。
這到底是怎麼一回事呢？咱們先從技術層面簡單説一説。服務器為了節省開銷，後台的同一個工作進程會像流水線工人一樣，接連不斷地處理不同人的網頁請求。按照規矩，送走上一個請求，必須把剛才用過的內存徹底清空歸零。可問題偏偏就出在這個清理歸零的過程中，它這裏面是有漏洞的：系統雖然把前一塊內存給清空了，但是卻忘了銷燬指向那個內存的授權牌，技術上叫做懸垂指針。黑客就利用這個。
咱們還是給它換成大白話，打個形象的比方：這就好比在一家銀行裏面有那種專門接待高級客户的VIP包房。黑客呢先假扮成第一波客人走進1號包廂，然後提了一個合法的但是極其刁鑽的、需要花很長時間才能夠辦理的業務要求，把這個銀行系統折騰得雞飛狗跳。到一半的時候，這個黑客突然一拍桌子説“我不辦了”，轉身離開了。按照規矩呢這客人一走，大堂經理得把這個1號包廂清空，還得把手裏頭那張已經寫好了、説1號包廂的請求已經通過核驗可以給他蓋章執行的授權條給撕掉。
可是因為剛才的場面太亂了，大堂經理只是把包廂騰空了，卻忘了撕掉手裏這個舊的授權條。就在下一秒鐘，黑客換了一身衣服，作為第二波普通客人推門進來。你看，因為這個1號包廂剛騰空，於是接待員順手就把這個黑客安排進了同一間包廂。這黑客一進門，立馬要求把金庫裏的錢全都轉走。這時候那個糊塗的大堂經理，低頭看到了手裏的舊授權條，上面寫着“可以給1號包廂蓋章執行”，桌上正好有份合同，這經理根本就不再核驗身份了，直接掏出銀行的公章往那假合同上一蓋，通知後台照着這個指令去執行了。
你看，所以説呢，咱們用一句話來總結：PHP代碼裏這兩個致命的漏洞，全都出在PHP幾乎每處理一個網頁請求都必須經過的這個咽喉要道上——一個是內存管理，一個是出錯處理。所以説任何網站都不可能繞開的，只要你的網站還在開門迎客，你就絕對繞不開這兩道鬼門關。
潛伏14年的隱患與兩年前的錯失良機
好，剛才咱們説清楚了這兩道藏在地基裏的致命裂縫。聽到這呢，您心裏估計會冒出一個大大的問號：既然這兩個漏洞卡在這麼核心的咽喉要道上，難道過去這麼多年，全世界成千上萬的頂尖程序員，就沒有一個人發現嗎？
這個説出來你可能都不敢信，這個致命的隱患呢，一直可以追溯到2012年發佈的PHP 5.4版本。換句話説，這個缺陷在PHP裏面整整躺了14年呢。
但是比起隱藏了14年這個事實，更讓人拍大腿、更讓人唏噓的是什麼呢？是早在兩年前，也就是2024年，這個隱患其實已經露過一次頭了。那是在2024年，PHP迎來了多年來第一次外部安全審計，出錢贊助的是德國的主權技術署，當時負責查代碼的是法國安全公司Quarkslab。當時一名核心開發者在修復審計發現的另一個問題時，就已經敏鋭地注意到了這個內存不足這個缺陷的苗頭，甚至當時就有人推測，這玩意在理論上可能會被黑客利用。
好傢伙了，既然2024年就已經看到苗頭了，你為什麼不順手把它給修了呢？非得拖上整整兩年，等到今天變成一場塌天大禍呢？
這背後的原因呢，説起來既現實又透着一股深深的無奈。
- 首先第一，當時雖然看出了毛病，但是全世界沒有任何一個人能真正走通一條具體的攻擊路徑。也就是説，大家覺得它是一個隱患，但是沒有人知道怎麼把它變成真刀真槍的武器。而當時PHP團隊手頭又有其他更明確、更加火燒眉毛的漏洞要處理，因此就把它放在一邊了。
- 第二個也是最要命的一點，要想修補地基裏的這道裂縫呢，這個代價實在是太大了。當時的PHP安全團隊內部提出好幾種互相競爭的修復方案，但是仔細評估，每一種方案都帶着劇毒的副作用：有的方案是一旦改了，就會導致新引擎不兼容老的代碼，後果就是成千上萬正在跑着的老網站當場就得報錯罷工；有的方案呢又可能會帶來新的隱患，讓黑客能夠輕易地把網站給卡死癱瘓；還有的方案雖然安全，但是太麻煩了，需要全世界無數的第三方的擴展插件跟着一起修改代碼，這在現實世界裏面根本協調不過來。
但是更卡脖子的是呢，PHP的安全團隊一直以來實行的是共識制，就是必須大家意見都完全一致才能夠動手改這個代碼。結果呢，這麼幾派修改方案吵來吵去、爭執不下，結果就是誰也不敢拍板，生怕選錯了方案親手把全世界的網站給搞崩了。於是呢，這件事就是這麼停停走走、反覆擱置，這麼一拖就是整整兩年。
你看，明明已經看到了地基裏的裂縫，卻因為證明不了它能夠被利用，又拿不定主意怎麼修，最終輕輕地放過了它。
前沿AI登場：算力趟出人類未至的攻擊路徑
可是這裂縫不會自己消失。時間來到2026年的8月份，一個全新的角色悄無聲息地登場了。它沒有人類那種思維定勢，而是用冷酷到了極致的算力，把這條人類專家沒能走通的攻擊路徑硬生生地給趟了出來。這個角色你也猜到了，就是那些前沿的人工智能模型。
故事的轉折點發生在2026年的7月底。當時呢PHP加入了由OpenAI資助的那個修補地球計劃，於是安全公司Calif開始對PHP的源代碼做深度的審計。研究員瑞安·奧斯汀藉助OpenAI的前沿模型GPT-5.6 Sol，在8月1日挖出了這個漏洞的線索，然後在8月11日向PHP官方彙報了漏洞的根本原因，然後在8月14日他把直接能夠遠程控制服務器的攻擊演示交給了PHP官方。
而與此同時，另外一撥人就是Google雲旗下的雲安全公司Wiz，他們也發現了。他們是用自家的安全智能體系統Wiz Atlas，結合谷歌的Gemini 4 Argon模型以及OpenAI的GPT-5.6 Sol，三個模型結合起來，在8月19日也獨立發現了這個漏洞。
當時Wiz為了證明這個漏洞的破壞力有多大，他們在全球知名的兩大建站平台上面進行了測試：一個是專門搭建大型企業和政府官網的開源系統Joomla，另外一個則是大名鼎鼎的、佔據了全球網站總數大概40%的大家平時非常熟悉的建站系統WordPress。結果測試表明，這兩個主流平台全部被攻破了。隨後Wiz在8月24日正式向PHP官方提交了報告。
那問題來了：為什麼一個人類專家十幾年都沒有啃下來的硬骨頭，到了2026年的8月份，被兩波白帽研究員用AI前後腳攻破了呢？
當然，這裏面咱們解釋一下什麼叫白帽研究員。像Calif和Wiz這樣的安全公司的技術人員呢，在行業裏面被稱為白帽研究員或者是白帽黑客（White-hat hackers）。這個詞是源於早期的西部片。你看在西部片裏面，正派的警長戴着白帽子，而反派的強盜們則戴着黑帽子。然後引申到網絡安全這個行業呢，那些幹壞事、挖漏洞去偷數據、搞破壞的這些壞人們被稱為黑帽黑客；而像Calif和Wiz這裏面的技術人員這樣的呢，雖然他們也掌握着頂尖的黑客技術，但是他們的目的是趕在壞人之前把這個漏洞給挖出來，挖出來之後再通知官方把這個門修好。這種以正義為目標的排雷工兵被叫做白帽。
好，解釋清楚，咱們言歸正傳，還是回到剛才那個問題：為什麼一個人類專家十幾年都沒啃下來的硬骨頭，到了2026年的8月份，被兩波白帽研究員用AI前後腳攻破了呢？
這個原因呢，Wiz團隊在官方報告裏面都寫清楚了：正是因為前沿AI模型大幅降低了這道門檻，把一個長期存在的缺陷變成了可用的黑客攻擊手段。有了前沿的AI模型，一名安全研究員只花了一週時間，就完成了過去需要一支專家團隊苦幹好幾個月的工作。你看，在AI的幫助下，白帽研究員可以發揮這麼大的功力，那麼同樣的結果可能也會發生在黑客身上，所以説這個聽起來就是細思極恐。
當然這裏面咱們也不需要誇大AI的作用。這裏必須強調，這次這個漏洞的發現絕不是AI自己主動發現的，也不是它獨立完成的。真實的過程是，人類的白帽研究員負責設定大方向，把這個AI當成一個不知疲倦的超級助手，去幹那些最消耗精力的推演和測試的這種苦力活；而最終用來堵漏洞的那個修復補丁，則是由PHP的人類核心維護者們親手編寫的。
兩個月的秘密搶修與崩潰的保密防線
你看從8月11日Calif提交第一份報告開始，PHP內部所有的人都驚出一身冷汗。一旦PHP有這麼大漏洞，這個消息在網上要是走漏了讓黑客知道了，那完了，大半個互聯網都會在黑客面前徹底裸奔。
於是一場長達兩個月的跨國秘密行動在水面下悄無聲息地展開了。PHP的核心開發者們經過近兩個月的苦戰，在10月中旬終於把這個修復漏洞的補丁的原始代碼給寫好了。寫好之後呢，他們並沒有直接發到網上，而是悄悄地分發給了那些全球佔網站服務器九成以上份額的各大服務器操作系統廠商，比方説Ubuntu、Debian還有Red Hat這些Linux系統廠商們。
這麼分發的目的是讓各家廠商在保密狀態下，把PHP團隊提供的原始代碼給加工打包成網管們能夠一鍵安裝的更新程序。就這樣，按照各方約定的保密計劃，大家定下了一個共同的解鎖日：到那一天，全球同步公佈漏洞警告，而且同步放出打好包的這個官方補丁。這個日子定在了世界標準時間UTC 10月22日的下午2點。
這裏咱們順便給不熟悉的朋友們解釋一下什麼叫世界標準時間UTC。您可以把它理解為地球的總時鐘。因為現在全世界有24個時區，為了防止跨國行動的時候大家算錯鐘點，國際安全界對錶統一都用UTC這個沒有夏令時干擾的世界標準時間。所以説呢，接下來咱們節目的後半段提到所有的具體鐘點呢，如果沒有特別説明，指的全都是這個世界標準時間UTC。
好，時間定起來了：10月22日下午2點。大家心裏開心，眼看着兩個月的秘密行動就要在10月22日圓滿收官了。但是誰也沒有想到，就在距離終點線只剩最後兩天的時間，這個保密防線突然崩了。
亞馬遜威脅情報團隊事後披露，早在10月17日，也就是在原定解鎖日22號整整5天之前，他們部署在網上的一個誘捕的陷阱呢，就已經捕獲到了一次針對這個漏洞的神秘試探。
如果説這是暗流湧動的話，那麼到了10月20號下午3點左右，這個防線就徹底漏風了。那個時候發生什麼事了呢？這兩個絕密的漏洞編號開始在美國知名技術社區Hacker News和社交媒體上開始瘋狂地流傳。
那到底是誰泄露出去的呢？當天晚上8點鐘左右，PHP基金會證實呢，是當初報告這個漏洞的公司之一Calif，他們不小心誤發了他們當年做的這個概念驗證演示視頻。結果這麼一個手殘呢，導致這個視頻以及視頻裏面提到的兩個漏洞的編號開始在網上大肆流傳。後來總結的時候，PHP基金會也是很無奈地説，正是因為這段外流的演示視頻，大大加速了網上這些黑客們開始開發這個攻擊樣本的速度。
於是就這樣，這個秘密就沒有保住。結果就是這個門外的這些黑帽黑客們聞着味就全撲上來了。就在這次泄密之後，網絡安全公司Cloudflare他們就監測到了上千次的網絡攻擊。眼看着那幫黑客們開始在門外試探着撬門開鎖了，這所有人都慌了神。
那麼現在該怎麼辦呢？還能夠按照原計劃説再苦等兩天，等到10月22日下午2點再發補丁嗎？絕對不能等了。於是一個緊急應對計劃分兩步迅速拍板：
第一步，PHP的安全團隊當機立斷，決定把這個漏洞發佈時間和補丁發佈時間整整提前一天，從原定的10月22日下午2點改到前一天，也就是10月21日下午2點。
聽到這你可能會問了：你説10月20日就已經泄密了，而且當時PHP官方手裏面明明早就寫好了補丁的原始代碼了，那為什麼不乾脆在10月20日當晚就把這個補丁發出來呢？非得再等十幾個小時到10月21日下午2點呢？
這個原因很簡單：PHP官方手裏拿的只是原始代碼，網管們更新軟件它不能通過原始代碼，它得把PHP的原始代碼加工打包成安裝程序呢。這個過程還沒完。如果PHP官方在10月20日當晚直接把這個原始代碼公開了，那麼後果就是黑客連夜就能夠順藤摸瓜寫出攻擊武器，然後對各大系統廠商發起攻擊，可是那個時候各大系統廠商的軟件商店裏還沒有上架更新包呢。這樣的話，全世界的網管們都會陷入絕境：看着敵人打過來，手裏沒武器。因此説必須留出十幾個小時，大家都得等到10月21日下午2點，等各大廠商們把安裝包徹底準備好。
可是萬萬沒有想到，連這提前之後的時間——10月21日這最後幾個小時，都被豬隊友給背刺了。
什麼情況呢？這事發生在10月21日早上7:41，距離2點大概還有6個多小時的時候呢，軟件供應鏈安全公司Chainguard居然在沒有和其他各方達成一致的情況下，單方面打破了保密禁令，直接把自己打好補丁的軟件包提前公開掛到了網上。
這一下整個安全圈都炸鍋了。那為什麼大家這麼憤怒呢？因為對於全世界的黑客們來説，只要拿到了這個打好補丁的更新軟件包，把它和舊版本放在一起做個代碼比對，很快就能夠倒推出這個漏洞到底藏在哪。這不就相當於給壞人遞刀子了嗎？於是PHP基金會事後是公開點名批評這個Chainguard的。它幹的這個事用大白話來説呢，就是大傢伙辛辛苦苦保密了好幾個月的一個秘密，全被你這一嗓子給提前攪黃了。
咱們來回顧一下這個時間線：
- 10月20日晚上，Calif手一殘這個視頻外流了；
- 10月21日早上，Chainguard的軟件包被提前掛上網；
- 再到10月21日下午2點，是正式向全球通告發補丁。
這中間可是出現了十幾個小時的一個致命的空窗期。在這段空窗期內，全球網站將面臨着黑客已經知道漏洞在哪了、但是網管手裏面還沒有補丁可打這麼一個尷尬現狀。
空窗期下的抉擇：各國為何不得不拔網線？
於是應對計劃的第二步立刻啓動：在全球發佈高危預警，各國拉閘斷網。
其實在10月20日泄密的當天，歐盟計算機應急響應小組CERT-EU率先發出緊急通知，提醒歐洲各機構如果一時打不上補丁，就要考慮先把系統下線。到了10月21日，美國國家安全局NSA、美國網絡安全和基礎設施安全局CISA，還有英國、澳大利亞、荷蘭、新西蘭和加拿大的國家網絡安全中心，幾乎在同一時間拉響了最高警報：對於那些無法直接打補丁的機構，應該先把系統下線。
於是在收到警報之後，法國、德國、荷蘭、英國、捷克、加拿大、尼泊爾等各國的網絡監控機構和各大單位，各自做出了同一個決定：就是在補丁徹底裝好之前，先把網線給拔了。
聽到這可能很多朋友們心裏肯定會有一個大大的問號：非得拔網線嗎？這個斷網求生是不是代價太大了？
這個沒有辦法，因為這裏面有四個原因：
- 第一，在正式補丁打上之前，沒有任何臨時的辦法能夠擋住黑客。 PHP的開發者們明確表示，更新打補丁是唯一的安全選擇，並且必須把服務器上所有的PHP後台進程全部都給重啓一遍這補丁才會生效。所以説你在這個重啓完成之前呢，只要網線還插着，每一秒鐘相當於都是在裸奔呢。
- 第二個原因，全世界那些已經過了保質期的老版本實在是太多了。 根據Qualys網站監測到含有PHP安裝的服務器裏面，有高達70%早就過了保修期的非常老的版本。就是説這7成以上的網站呢，就算你熬到了10月21日下午2點，你也拿不到現成的一鍵更新包。那麼這些網站你要麼得苦苦等着操作系統廠商定製兼容老系統的補丁，要麼就得把整個系統連夜升級重構。所以説在這段漫長的空窗期裏面，你不拔網線怎麼辦呢？所以你只能説是先關門歇業。
- 第三個原因，摸不清底細與資產混亂。 咱們前面説什麼PHP各個版本，你知道現在很多大機構，它們連它們自己都摸不清自己家的家底。一個龐大的政府部門或者是跨國公司，它底下可能有幾百個子網站，哪個網站用什麼服務器平時也是一本糊塗賬。所以説呢這裏面肯定有很多的漏網之魚，因此説沒有辦法，只能採取一刀切，先把這個網線拉起來再説。
- 第四個原因，數據泄露的慘痛教訓。 關於數據泄露這事呢大家都有慘痛的教訓。早在2021年底Log4j這個漏洞爆發的時候呢，加拿大的魁北克政府就曾經被迫一口氣關停近4,000個網站，當時加拿大的税務局也暫停了網上服務。所以説摔過了那一跤呢，現在各國安全主管的共識非常的一致：出現了問題或者是隱患，寧可讓網站打不開、被民眾抱怨半天，也絕不能讓自己的核心數據被黑客們給搬空。
史詩級拉閘與全球搶修
好，計劃定好了，於是一場人類互聯網史上從未有過的閃電攻防戰正式進入實施階段。這裏面是雙線作戰，兩條戰線：
- 第一條戰線就是在10月21日下午2點補丁正式放出之前，各大操作系統廠商在後台是爭分奪秒地做最後的打包測試；
- 而與此同時，為了度過這段難熬的最危險的空窗期，各國政府和大型商業網站們在10月21日當天拉開了全球互聯網歷史上首次史詩級的拉閘斷網大幕。
咱們來看看當時集體拉閘的都有哪些：
- 在歐洲，德國、法國、比利時、荷蘭、芬蘭、捷克6個國家大批政府網站集體掛出維護牌。在荷蘭呢，除了咱們前面説過的國家網絡安全中心、數字身份系統DigiD和鹿特丹港，連荷蘭議會、政府總門户、5大政黨官網以及多家醫院的網站全都暫停了服務。
- 在英國，中央政府的32項在線服務和愛丁堡等地方議會全部停擺，就連英國廣播公司BBC都悄悄關掉了旗下的部分頁面。
- 在亞洲也是，尼泊爾因為數千個政府網站共用同一套模板，因此官方直接集中關停，幾千個網站一瞬間從公網上消失。在日本，除了彈幕網Niconico、插畫網Pixiv和精靈寶可夢、賽馬娘等熱門遊戲的網站之外，著名的電商建站平台BASE也進入了緊急維護狀態。
- 在北美，維基百科的部分頁面以及很多著名的論壇也都中斷了服務。
- 再看加拿大，加拿大這邊的動作也非常的快。聯邦層面的加拿大統計局、創新科學和經濟發展部ISED，還有加拿大網絡安全中心的官網也都紛紛下線了。然後再看看各個省份：加拿大東邊的魁省、紐芬蘭和拉布拉多，還有愛德華王子島PEI，還有北邊的西北地區，再到西海岸的BC省選舉局，全都在10月21日果斷拉閘限網。
當然這個斷網的例子還有很多，因為時間關係咱們就不一一列舉了。看到此情此景，德國老牌科技媒體Heise看着這一幕，忍不住發出感嘆：像這種規模的預防性集體下線，在互聯網歷史上以前還從來沒有發生過。
但是這裏咱們得説清楚：咱們看到的網站下線，絕對不等於這些網站被黑客給攻破了。10月21日這份咱們剛才唸的長長的斷網名單，其實是全球安全團隊的一個反應最快、行事最謹慎的那麼一份好學生的光榮榜，所以説這些網站咱們得表揚。
於是就這樣，就在各國紛紛拉閘自保的同時，時間終於來到了10月21日下午2點，這個就是相當於北美東部時間上午10點左右。在這個時間點，PHP官方準時向全球放出了4個正式的修復版本，包含Linux源碼包和微軟Windows版本的直接安裝包，並且破例為7.4、8.0和8.1這三個非常老的、已經過了保質期的版本呢，提供了一個源碼的補丁。
緊接着，Ubuntu、Debian和Red Hat等各大Linux服務器操作系統廠商也迅速配合，把打包好的更新程序同步推上了各自的軟件商店。這就相當於打響了發令槍，那些早已守在電腦前的全球各國政府和企業網管們，立刻開始下載補丁、手動編譯，一台台服務器開始排查安裝，並且逐一重啓後台進程。
但是咱們上嘴唇一碰下嘴唇，修復、重啓這個説得很容易。因為它每個機構的服務器數量和版本的新舊都是不一樣，因此説這個打補丁的過程和這個重啓驗證，這個過程其實非常費勁，短則花幾個小時，長則得持續一兩天。但是呢，雖然説是過程比較煎熬、比較複雜，但是隨着補丁一個個打上，從10月21日晚些時候一直持續到10月25日前後，前面説到的那些主動拉閘的網站們都開始陸陸續續地重新插上網線，恢復了訪問。
到這裏，這場驚心動魄的第一階段緊急搶修行動終於宣告告一段落了。
然後咱們來盤點一下這次行動的結果。這裏咱們問幾個問題：
- 第一個問題：當時那些主動拉閘的那些大網站們都恢復了嗎？這個答案是Yes。根據公開的追蹤平台的數據呢，此前重點監測的50個大型下線的網站裏面，絕大多數都已經恢復了正常，包括咱們前面提到的英國、法國、荷蘭、加拿大這些政務系統，以及魁北克水電局什麼的，目前都已經順利地重新開門營業了。
- 但是第二個問題就是稍微讓人有點揪心了：是不是全世界所有的PHP服務器的補丁都已經打上了呢？沒有，而且是遠遠沒有。那些當天沒有拔網線、平時也沒有專人維護的成百上千上萬的普通網站，還有一大半依然暴露在危險之中，這個可就非常恐怖了。
業界冷靜覆盤與對自媒體謠言的駁斥
好，咱們覆盤完了整個這場史詩級互聯網搶修大行動，咱們給這件事情來個準確的定性。
你看在這場風暴裏面，根本沒有什麼AI大軍攻陷地球。恰恰相反，這是一場人類白帽專家加上AI超級助手，在最後關頭聯手拯救互聯網的一個勵志故事。全球安全專業界對這件事情的反思非常的冷靜，他們的總結是三句話來概括：
- 第一個就是給這個事情定性： 雲安全公司Wiz把這個PHP2Shell和當年震驚世界的Heartbleed心臟出血漏洞和Log4Shell漏洞相提並論，認為這個東西它是AI時代的一個轉折點。
- 第二句話是一個心酸的對比： 英國的《衞報》指出，維護着全球七成網站底層語言的PHP基金會，全職加上兼職只有一名全職員工和14名合同工，全靠捐款運轉；而用來挖這個漏洞的AI研究，背後的人員和資金卻是以數十億計的鉅額資本。
- 還有第三句話是對未來的擔憂： 德國媒體指出，在AI不斷挖出嚴重漏洞的背景下，這樣的集體拔網線恐怕不是最後一波，很可能會成為未來的新常態。
你看專業界的這三句話或者説是討論，既客觀又剋制。可是呢，偏偏到了一些咱們中文自媒體和社交平台上面，這個畫風就徹底跑偏了。
你還記得咱們節目一開始提到的那篇文章嗎？就是我説的10月22日由新智元發佈、後來被不少中文網站轉載的那個，説的什麼《剛剛 全球互聯網已被AI攻陷 史上最黑暗的48小時來了》。你要是讀了這個文章之後，你就會發現它其實是把好幾件發生在不同時間、性質完全不同的事情，給硬生生地燉成了一鍋末日濃湯，把不少讀者們給嚇得夠嗆。
現在呢，為了讓您把心放在肚子裏面，而且你已經聽到前面我講的這個事情的來龍去脈了，然後咱們再把這個文章裏面最嚇人的幾個斷言擺到枱面上，對照事實批駁一下，讓大家把心放回肚子裏面去。
批駁一：“全世界一半的互聯網已經癱瘓”
先看它的第一個斷言：這個文章一開頭就宣稱説什麼“就在昨天，全世界一半的互聯網已經癱瘓了，AI已經入侵整個人類世界”，後面還説“1/3的互聯網已經完蛋了”。
切，事實是什麼呢？10月21日咱們看到的那些打不開的政府和機構的網站，其中絕大多數都是管理員收到了預警之後主動掛出維護頁面、預防性的下線的，根本不是被AI打癱的。而且這些網站恢復得也很快，根據一個公開的追蹤平台的消息，50個大型下線網站裏面絕大多數都很快恢復了正常。而且你看那兩天，咱們用的什麼搜索引擎、社交媒體、網銀、網購、銀行頁面，那全都好端端在這轉着呢，哪來的什麼一半的互聯網癱瘓？這不胡扯嗎？
批駁二：“沒有人類參與的世界大戰，AI親手挖出互聯網墳墓”
然後咱們再看它這個文章裏第二個斷言。原文説：“這是一場沒有人類參與的世界大戰，沒有人類罪犯，作惡的是一羣永不知疲倦的AI智能體”，甚至還把這個PHP2Shell漏洞叫成是“AI親手挖出的互聯網墳墓”。
這些話更是徹底顛倒了黑白。在PHP2Shell這件事情裏面，真正立大功的恰恰是Calif和Wiz這樣的人類的白帽研究員，是他們設定方向、指揮AI這個超級助手，找出了這個藏了14年的老的漏洞，又提前兩個月聯合全球大廠秘密修補。這裏面工作的全是人。雖説後來手殘把這個保密計劃給搞砸的也是人，但是甭管怎麼説，你不能説這裏沒有人。我們不能無視那些幫助全人類排雷的白帽功臣們，這裏面他們應該被大大地記上一功。
批駁三：“惡意探針覆蓋全網，白帽釋放AI蜂羣強行黑設備打補丁”
接着咱們再看文章裏第三個斷言。原文裏面繪聲繪色地寫道：“兩個小時之後，數以百萬計的惡意探針覆蓋了整個互聯網”，最後甚至還編出了一句，説是“白帽黑客決定釋放自己的AI智能體蜂羣，去強行黑掉全網的設備”。
你聽着它這個描述像不像科幻大片？但事實上，那兩天全網確實有大量的自動化的掃描試探，但是掃描多絕不等於被攻破了。WordPress安全公司Wordfence和老牌安全公司Sophos沒有發現一起經過確認的通過PHP2Shell攻破網站的案例。對此PHP基金會也證實，截至補丁發佈的時候，網上流傳的各種攻擊樣本沒有一個是真正能用的。所以説壞人們手裏都還沒有能夠真正拿到開門的鑰匙，哪來的什麼白帽黑客釋放AI蜂羣強行黑掉全網設備給你打補丁？開什麼玩笑啊。
批駁四：“華爾街緊急拔網線，拉美400家銀行被AI洗劫”
最後文章裏面第四個斷言，就是把這個金融圈也拉了進來，説“美國華爾街緊急拔網線，拉美400家銀行被AI智能體洗劫”。
這兩件事呢其實跟10月21日的PHP漏洞毫無關係，它純粹是作者把前後幾周裏面另外兩則獨立的新聞硬塞進這個所謂的48小時裏面去湊數的。
- 他這個文章裏説的這個“美國華爾街緊急拔網線”，它的真實新聞其實發生在10月中旬。摩根大通、美國銀行等幾家大銀行出於風控和責任劃分的考慮，限制客户使用第三方AI理財助手代客登錄個人網銀。
- 至於另外一個説是“拉美400家銀行被AI洗劫”，這個是安全公司Straiker在10月21日發了一份報告，揭露了一個名字叫做CyberCartel的一個人類犯罪團伙，在過去的好幾個月裏面用幾個AI模型當成輔助工具去窺探和攻擊拉美400多家金融機構。但是這400多家只是被瞄準的目標名單，根本不是説400家銀行都已經被攻破被洗劫；而且這是一個由人類黑客指揮、持續了好幾個月的犯罪行動，既不是什麼零人工干預的AI大戰，更跟10月21日這48小時毫無關係。
風險仍在蔓延：七八成服務器未補與真實攻擊的逼近
不過呢，雖説咱們剛才給大家闢了一個謠，讓您把這個心放在肚子裏面去了，但是咱們絕對不能夠掉以輕心。為什麼？因為故事講到今天，世界還遠遠沒有回到安全狀態。
首先呢，咱們剛才留了一個扣：現在目前到底還有多少PHP服務器沒有打上補丁？這個數字可以説是觸目驚心。根據權威平台VirusTotal的一個估算，全球直接暴露在公網上的PHP主機目前超過510萬台，以及那些把PHP悄悄打包進主機控制面板、甚至打包進某些Windows應用程序裏面的這些機器都會受到影響。根據英國安全公司Infrawatch的統計顯示，截至10月26日，全球完成了修補的公網PHP主機只佔能夠看到的總數的19%左右，換句話説還有八成都面臨着危險。Censys的統計也顯示，只有大約1/4的機器完成了修補。換句話説，全網還有七八成的PHP服務器到現在還沒有打上補丁。
有人聽到這可能心裏一激靈：哎呦壞了，你説全世界PHP的服務器還有八成沒有打過補丁，那可不就是很容易被黑客攻破嗎？那我如果上這些網站上傳個文件呢、看個視頻呢，會不會中毒啊？
這樣，這裏咱們順便給大家劃一個重點。並不是所有的網站都受到影響，哪些比較安全、哪些比較危險呢？這個咱們説一下：
- 安全的網站有這麼幾類：
- 第一個就是那些根本不用PHP的網站，比方説後台語言用的是Java、Python、微軟.NET或者是Node.js這些語言寫的網站，這次可以高枕無憂，不受影響；
- 第二類就是託管在WordPress.com等這些已經統一打好補丁的大型官方平台上的一些網站；
- 還有如果你的網站前面有Cloudflare這類雲端防火牆擋着的網站呢，風險也會比較低。當然它這個防火牆只是一個臨時的擋箭牌，最後這個補丁還是得儘快地打。
- 普通用戶的注意事項： 咱們絕大多數普通的民眾，如果你自己既不開網站也不管服務器，那您完全可以把心放在肚子裏面，您不需要在自己的電腦或者是手機上面裝任何的PHP補丁。平時呢你正常刷個網頁、看視頻什麼的也不會因此中毒。當然這個也不能話説得太絕對，萬一這兩天在那些你非常常用、非常熟悉的網站上面突然彈出什麼登錄或者是讓你下載什麼東西的彈框什麼的，你得千萬小心。
- 中小站長的警示： 不過這裏還得提醒一下，如果屏幕前有一些自己開小公司、開餐館、做地產經紀的，或者是租用主機搭了一個業務網站這些觀眾呢，那麼您可得趕緊催你的主機商或者是外包公司去檢查一下他們底層的PHP補丁打上沒有。
為什麼我要勸各位網站主一定要重視這個事，並且要火速進行檢查和打補丁呢？因為就在這兩天，黑客們的進展是非常的神速的，這個風向也徹底變了：
- 在10月22日，亞馬遜威脅情報團隊披露PHP2Shell正在遭到大範圍的利用；
- 到了10月24日，Perplexity的研究員阿德爾·卡里米在他佈置的三台作為誘餌的蜜罐服務器上面，也記錄到了35次黑客發出的成功的命令執行；
- 緊接着在10月26日迎來了真正的實錘：科技媒體BleepingComputer也在10月26日報道了另外一批蜜罐誘餌服務器被攻破的詳情；
- 而美國CISA也在同一天——10月26日，正式把PHP2Shell列入已知的被利用的漏洞目錄，並且下令美國聯邦民事機構必須在10月29日前完成業務和技術上的處置。
因此説黑客已經開始行動了。雖然前面説的這些被黑客攻破的是研究員擺在網上的蜜罐陷阱，蜜罐用的是對攻擊者有利的單進程配置，它這個結果不一定代表着真實的生產服務器上的完全成功率，但是它釋放了一個極其危險的信號：真正能打開這些門的萬能鑰匙，已經被黑客配出來了。
而且一波未平一波又起，早在10月23日，PHP的官方又披露了第三個漏洞，漏洞編號叫 CVE-2026-115560。這個漏洞同樣能夠導致黑客在遠程控制服務器，好在這個漏洞需要非常少見的一個特殊配置組合才能夠觸發，它這個影響面會小得很多。
所以咱們完全可以這麼説：危險到現在仍然沒有解除。面對已經造出來的黑客武器，那些佔比高達七八成還沒有打補丁的服務器正面臨着極大的風險。在接下來的一段時間裏面，也不排除還會有更多的一些反應慢半拍或者是系統比較複雜的一些機構，為了保命而陸續採取預防性的下線斷網。
因此説作為普通民眾，這幾天如果再看到哪個政府或者是公共網站掛出“系統維護中”這個招牌呢，這千萬別慌。看到這個“系統維護中”，那多半是技術人員正在後台滿頭大汗地交作業打補丁呢。
總結反思：沙堆上的數字文明與AI時代的防禦考驗
好，咱們最後總結一下。回顧2026年10月這場全球大斷網，最讓我感慨的其實不是這個漏洞的本身，而是時代車輪轟隆隆碾過來的聲音。
這個致命缺陷在PHP的地基裏面整整躺了14年。你想想是5,000多個日日夜夜，在這5,000多個日夜裏面，大半個互聯網在它上面蓋起了摩天大樓，全世界都在心安理得地享受着免費開源的紅利，卻很少有人低頭看一眼腳下的地基到底結不結實。
更讓人唏噓的是，早在2024年人類專家明明已經看到了這道裂縫的影子，可當時因為證明不了它能被利用，大家又怕瞎改改壞了那些既有的老系統，於是就想當然地以為既然沒有人能夠走通那麼就可以先放一放。抱着這種僥倖心理，讓這顆定時炸彈又多躺了整整兩年。
如果我們再往深處看，背後暴露出來的問題更讓人捏一把汗：你想想看，支撐着全球七成的網站它的底層地基，平時居然只靠着一名全職員工和14名合同工，靠着捉襟見肘的預算和捐款在苦苦地支撐；而在目前已知的PHP服務器裏面，竟然又有高達7成跑的是那些早就過了保修期、沒有人管的非常古董的版本。説白了，過去這麼多年，我們其實是把現代的數字文明建立在一個缺乏維護的沙堆之上，平時不出事大家裝作看不見、得過且過。直到今天，人工智能硬生生地趟出了那條人類幾乎走不通的攻擊路徑，這就像一記重錘砸下來，全世界才被徹底敲醒，才被迫低下頭正視腳下這道深不見底的裂縫。
但是話説回來，在這場危機裏面我們也看到了人類社會依然閃光的一面。當警報拉響的那一刻，雖然地球上沒有所謂的世界政府，但是全世界的技術人員卻展現出了驚人的默契：白帽研究員第一時間交出報告；開源維護者熬了兩個月通宵改寫這個底層引擎；平時殺得眼紅的雲端巨頭們也放下了競爭、聯手佈防；各國的工程師們更是頂着民眾的罵聲，在幾個小時之內果斷拔掉網線、護住數據。成千上萬素不相識的人跨越了國界和時區，用一場教科書級別的全球大搶修，硬是在黑客配出真鑰匙之前把大半個互聯網從懸崖邊上拉了回來。這份在危急關頭的專業與擔當，值得我們每一個人給他們鼓掌。
而且除了給人類工程師鼓掌，在這場危機裏面還有一個特殊的幕後大功臣，咱們今天必須也給它記上一筆頭功，它就是人工智能。咱們不妨試想一下：如果沒有這些前沿的AI模型幫人類完成了這場超越大腦極限的推演，那麼這顆埋了14年的定時炸彈，它還會繼續在地基之下靜靜地滴答作響。要是再過一段時間，在未來的某一天，它被某個地下黑客組織或者是國家級的網軍悄悄地摸透了，在沒有任何預警、沒有任何補丁的情況下突然引爆，那麼到了那個時候，全世界的電網、醫院、銀行和政務系統都會面臨什麼樣的滅頂之災？這個簡直不敢想象。
所以説，不管外界平時怎麼爭論AI的利弊，至少在2026年10月的這場戰役裏面，AI它不是毀滅世界的惡魔，而是替全人類排掉了一顆定時炸彈的功臣。它用了幾天的算力，替人類拔出了一根紮在互聯網心臟上14年的毒刺，真真正正地為人類社會立下了一件大功。
可是掌聲過後，冷汗依然留在背上。這一次説實話我們真的很幸運，是守規矩的白帽研究員先用AI找到了漏洞，給了全世界兩個月的時間去鑄造這個盾牌。可是下一次呢？如果當同樣強大的AI落到了那些不守規矩的人手裏，當挖掘底層漏洞從幾個月的人力攻堅變成了幾天甚至幾個小時的算力碾壓，我們還能有這樣的運氣嗎？
面對已經到來的AI時代，如果下一次危機降臨，人類社會到底該怎麼辦？難道我們每一次都要靠拔掉網線、靠停擺政務來斷臂求生嗎？難道我們永遠只能這樣頭疼醫頭、腳疼醫腳，等哪塊地基裂了再去連夜打補丁嗎？我們是不是早該停下來好好想一想，怎麼樣給那些默默撐起互聯網底座的開源項目建立起一個真正可靠的資金和人力的保障？怎麼樣去利用AI的力量去提前加固支撐起整個互聯網大廈的基石，制定出一套長效、主動的全球防禦機制，而不是等大廈將傾的時候才手忙腳亂地去拉網線、去拉電閘？
畢竟網線可以拔掉重插，但是如果信任和秩序的防線被擊穿了，那可就沒有重啓鍵可以摁了。
我是莊也，如果你喜歡我的節目，歡迎您打賞、點贊、Hype、訂閲、留言，或者是點擊屏幕下方的二維碼加入會員，用每月一杯咖啡的錢贊助莊也進行內容創作，莊也在這裏感謝您的支持和鼓勵。得嘞，咱們下次再見。