AI 发现 PHP 存在 20 年的漏洞，大量网站紧急下线

今天 4chan、DeviantArt、Wikipedia以及街角那家酒吧用来发人们狗狗照片的博客，所面临的重大问题背后，都是 AI 发现的两个漏洞。这些“严重漏洞”是在 PHP 编程语言中被发现的，而 PHP 支撑着互联网的很大一部分，包括任何基于 WordPress 搭建的网站。但影响远不止于此。一些荷兰和芬兰的政府机构作为预防措施下线了他们的网站。X 上的 NSA Cybersecurity 账号建议各组织在“无法立即更新”的情况下将系统下线，英国国家网络安全中心也给出了同样的建议。甚至Pokémon Home和Pokémon Champions也被下线，Kotaku报道。

这个漏洞其实并不算新。它已经在 PHP 中存在了大约 20 年，但据安全公司Wiz称，利用它“需要一条异常复杂的步骤链，处于人类研究者实际所能达到的边缘”。然而，强大的 AI 模型让把这类冷门漏洞转化为危险漏洞变得容易得多。

作为普通互联网用户，你可能会想：像“RCE via OOM corruption”这样一连串术语到底是什么意思，你应该有多担心，以及如此严重的漏洞究竟是如何在这么长时间里一直未被发现的。

调查服务机构 W3Techs表示，在我们已知其服务器端编程语言的所有网站中，有 69.3% 使用 PHP 编程语言，其中包括 Wikipedia 和 WordPress 等热门网站。互联网安全网站VirusTotal 表示，其扫描器目前登记了约 380 万个运行 PHP 且至少开放一个端口的网站。

据OpenAI称，一个名为Calif的 AI 安全团队使用 GPT-5.6 Sol 识别出了一个“严重”的 PHP 漏洞，而 Google 旗下的 Wiz 则独立地发现并报告了这些漏洞，使用的是 AI。PHP 基金会表示，其中一个漏洞的利用方式“在 2024 年被理论化提出”，但“没有找到具体的利用途径，其他具有明确影响的具体问题盖过了这些担忧”。

现在 PHP Group 表示，黑客可以利用这两个漏洞实现“未经身份验证的远程代码执行”，例如在无需管理员登录或密码的情况下运行自己的代码、更改内容并访问站点存储的数据。

非常严重。PHP Group 表示，基本上任何运行 PHP 的站点都面临风险。参与漏洞研究的 OpenAI 表示：“我们认为这是近期记忆中最具影响的安全问题之一。”Wiz 则表示，这是“软件历史上发现的最严重漏洞之一”。

昨晚，Cloudflare 的 CTO表示，他们“已经看到早期攻击出现”。

很难低估这可能会变得多糟。这些漏洞可能让攻击者完全控制服务器。这包括获取密码、API 密钥、加密证书和敏感信息数据库。他们还可以在这些服务器上执行代码，将其变成攻击其他易受攻击服务器的载体。而且，得益于 AI，一旦这些漏洞被公开，坚定的黑客利用它们相对轻而易举。

作为用户，做不了太多。该漏洞影响运行 PHP 的服务器，并不一定直接针对用户，但它可能利用被攻陷的站点传播恶意软件并窃取其他有价值的数据。如果你格外谨慎，可以在访问前查看你常用站点和服务的社交账号，看看它们是否发布了任何更新。

如果你有网站，哪怕只是一个简单的博客，现在就该检查你的站点使用哪个版本的 PHP（如果有的话）。如果你使用的是 Squarespace 或 Wix 之类的服务，那你就是安全的，因为它们不支持 PHP。

Hostinger、GoDaddy、Bluehost 或其他网络托管服务的客户应更加谨慎。GoDaddy表示，任何使用 PHP 的网站都应假定自己受到影响，并尽快更新到修复后的版本。它还表示，运行 PHP 8.1 或更旧版本的网站应升级到更新的版本，因为这些版本已不再受支持，也不会再有官方修复。

使用托管托管服务的用户应向自己的服务商确认预计何时部署修复。如果你销售产品或服务，或者服务器上存有任何敏感数据，最好在主机商为其 PHP 版本打上补丁之前先关闭你的网站。