据TechCrunch 10月27日报道，美国网络安全和基础设施安全局（CISA）确认，黑客正在积极利用PHP网页软件的两个关键安全漏洞，并已下令美国民事联邦机构在三天内修复相关系统。

CISA发出这一紧急补丁警告前不到一周，已有数十年历史的PHP编程语言维护方刚为这两个漏洞发布补丁。相关漏洞允许攻击者通过互联网远程侵入易受攻击的系统，无需密码。据报道，PHP被约70%的面向网页的服务器使用，使大型网站和应用面临风险。漏洞的严重性已促使一些政府和大公司下线网站进行修复。

安全研究人员表示，这些漏洞虽被评级为关键，一旦被利用可能造成严重破坏，但最初开发可用的入侵利用方式具有挑战性，不过并非不可能。如今确认存在实际环境中的利用，使组织面临更大压力，需修补系统以防恶意入侵、服务中断和数据泄露。

CISA在周一的一份声明中没有提供关于何人在利用这些漏洞的细节。该声明发布前不久，安全研究人员表示发现了PHP漏洞正被利用的证据。

这些漏洞被称为PHP2Shell，利用的是软件中多年未被发现的安全缺陷。它们最初在两年前被发现，但维护该软件的非营利基金会当时表示，黑客没有实际可行的利用方式，漏洞因此未被打补丁。直到今年早些时候，安全研究公司Calif的研究人员借助一个人工智能模型，找到了利用这两个休眠漏洞的方法。

这两个PHP漏洞属于众多尚未被发现或多年被降级处理的漏洞。随着人工智能模型发现和利用漏洞的能力提升，包括将多个缺陷串联起来，这些漏洞正构成风险。PHP也是支撑互联网和现代技术运行的众多老化网页技术之一，但多年来资源和资金不足，使这类开源项目难以支付可能更早发现缺陷的安全审查费用。