AI 挖出了互联网埋了 14 年的雷,同一天 AI 圈被偷了家

10 月 21 日这一天，AI 圈发生了两件事，方向完全相反：一件是 AI 给全互联网立了大功，另一件是 AI 开发者自己被偷了家。我一件件说。

先说立大功这件

你每天刷的网页，十有七八背后是 PHP 在干活。按 W3Techs 的统计，服务器端语言能识别的网站里大约七成跑在 PHP 上，WordPress、Drupal 这些撑起半个互联网的东西，底下全是它。

10 月 21 日，PHP 官方发了紧急安全更新，修掉两个漏洞：CVE-2026-109618 和 CVE-2026-109619，圈内给这对组合起了个外号叫 PHP2Shell。两个都是 9.2 分（满分 10）。最要命的是，不用登录、不用密码，攻击者发一个特定请求就能拿到服务器的执行权限，而且是在你的业务代码跑起来之前拿到——门禁还没起作用，后门已经开了。受影响版本一路回溯到 2012 年的 PHP 5.4，等于这颗雷在互联网地基里埋了 14 年。

最有意思的是"谁挖出来的"。PHP 基金会的研究员 2024 年就发现这里有个理论上的毛病，但搞不出利用方法，搁置了。今年 7 月他们加入 OpenAI 的 Patch the Planet 计划，8 月 11 日安全公司 Calif 用 GPT-5.6 Sol 找到了第一个洞；8 月 24 日，Wiz 用 Gemini 4 Argon 和 GPT-5.6 Sol 独立把两个洞都报了，并且 8 月 20 日就在 Drupal 上验证了完整攻击链，第二天又在 WordPress 上打穿一遍。Wiz 的原话是：这是 PHP 史上最严重的漏洞之一，放到整个软件史上都算得上。

原计划 10 月 22 日统一公布，前面留两个月给全世界的服务商悄悄准备补丁。结果最后 48 小时崩了：先是匿名帖把漏洞编号提前捅出去，接着 Calif 手滑发了一个攻击演示视频，删了但副本在黑客论坛传开，最后 Chainguard 又提前发布了带修复的镜像，等于把漏洞位置直接递到攻击者手里。PHP 只好提前一天发补丁。

然后就是全球运维的噩梦周末：法国、德国、荷兰、芬兰、英国一批政府网站直接下线躲避，荷兰连 DigiD 登录服务都下线了；NSA 发了罕见的公开警告，升不了级的网站先下线。Cloudflare 说公布后几小时内网里就出现几百万次利用尝试。更瘆人的是，亚马逊的蜜罐在 10 月 17 日、补丁还没发布的时候就抓到了利用尝试。到写稿为止还没确认有成功入侵，但没人敢松口气。OpenAI 自己还补了一句：这批只是开胃菜。

我怎么看

说句站队的：这是 AI 第一次干出让全互联网直接受益的正经事，该夸就夸。埋了 14 年、几十万人天天踩在上面的雷，人类两轮审计都没拆掉，AI 两个月拆了。

但我更想说的是另一半。真正的看点不是"AI 多能干"，是"窗口有多窄"。AI 8 月就挖到了，攻击者 10 月 17 日就在敲门了，普通用户 10 月 21 日才知道。挖洞的速度是机器速度，拆弹的流程还是人肉速度——研究员发通告、发行版打包、运维手动升、托管商排队——中间任何一环掉链子，前面全白干。这次两个月保密期，最后 48 小时自己人先捅漏了三回。所以别把"AI 能挖洞"直接脑补成"AI 能救场"，挖洞的是模型，救场的还是那群睡不好觉的运维。

同一天，AI 圈自己被偷了家

还是 10 月 21 日早上。LiteLLM——很多开发者用来统一管理各家大模型 API 的那个网关——发布流水线被黑，1.107.0 版本被塞了木马。这个包上 PyPI 只活了不到两小时，但装上的人够倒霉：恶意代码在 Python 一启动时就跑，哪怕你根本没 import 它。偷什么？SSH 密钥、云凭证、浏览器密码、AI 编程工具的配置，还有 LiteLLM 数据库里存的所有大模型 API key，打包加密发到攻击者的假官网，然后每小时回来一趟问"还有新指令吗"。

我看到这条新闻的第一反应是去看自己的机器。不瞒你说，我手上就是一堆这种东西：公众号的 AppSecret 躺在一个 json 文件里，企微的凭证、各家 API key 全在本地，我每天还在往一个干净的 venv 里 pip install。要是哪天装到这么一个包，等于把整个公众号和企微的钥匙串直接寄给陌生人。上上周我写过 3400 台 AI 服务器因为 LiteLLM 端口裸奔被挖矿木马拿下的事，当时觉得离自己挺远，这次不觉得了——毒就在 pip install 里。

普通人能怎么用

别觉得跟你没关系，三种人对号入座：

有网站的（包括 WordPress 博客）：去查服务器上的 PHP 版本。这次只有 8.5.12、8.4.27、8.3.36、8.2.35 这四个版本是修好的，PHP 8.1 及更老版本没有官方补丁，必须升大版本。特别提醒一句：升级 WordPress 不等于升级 PHP，WordPress 后台点"更新"升的是它自己，底下那个 PHP 得找主机商。

用虚拟主机或建站托管的：直接发工单问一句"PHP 升到 8.2.35 以上了吗"，一句话的事。

搞开发、天天 pip install 的：装包尽量钉死版本号，别拉 latest 标签；今天就可以去你的 site-packages 里搜一下有没有 cook.pth、cook.py、sitecustomize.py 这三个文件，LiteLLM 这次的后门就叫这三个名字。真装过 1.107.0 的，按官方说法整台机器当沦陷处理，凭证全部换一遍。

这两件事凑一块儿，说白了就一句：AI 把互联网的旧雷挖出来是好事，但拆雷靠的还是人跑得快；而你自己那几个密钥文件，别等 AI 来救，今天就去看一眼。

你最近一次 pip install 装的是什么包？敢不敢现在就去 site-packages 里搜一下那三个文件名？评论区报个平安。

信息来源

1. PHP 官方安全通告与 10 月 21 日紧急更新（php.net）

2. TechCrunch：Two Critical PHP Flaws Rated 9.2（2026-10-21）

3. Digital Watch Observatory：Critical PHP flaws found with AI（2026-10-22）

4. OpenAI 官方博客：Patch the Planet 与 PHP2Shell 披露说明

5. 凤凰网科技《全球运维忙坏了，AI 把互联网埋了 14 年的雷挖出来了》（2026-10-22）

6. LiteLLM 官方事件报告：Security Incident Oct 21, 2026

7. SafeDep：LiteLLM PyPI compromise 技术分析（2026-10-21）

8. Protect.Computer：LiteLLM 1.107.0 Backdoored（2026-10-21）