PHP 末日警报：OpenAI 与 Google 旗下 Wiz 发现远古漏洞，互联网慌了
图片来源：PM images（在新窗口打开）/ Getty Images
PHP 末日警报：OpenAI 与 Google 旗下 Wiz 发现远古漏洞，互联网慌了
美国国家安全局（NSA）周三发出紧急警告：PHP 中被发现两个严重漏洞，PHP 基金会已经发布补丁。
PHP 是一种服务器端编程语言，在 Web 应用开发中极其普及，大约 70% 的网站靠它运行；按某些统计，涉及超过 3300 万个站点。WordPress 等主流内容管理系统也在使用 PHP。
NSA 警告说，这两个漏洞非常严重，网站如果没法立刻打补丁，就应该先下线，直到完成修复再恢复。攻击者可以利用漏洞侵入服务器的文件系统，或访问 Web 应用可能使用的数据库。
值得注意的是，这些漏洞从 2004 年发布的 PHP 5 开始，就一直藏在所有版本的 PHP 里。还在运行较旧版本 PHP 的网站需要做一番升级，因为 PHP 8.1 及更早版本已经不再提供支持。官方建议把 Web 服务器升级到当前版本 PHP 8.5.12。
那么，两个影响几乎整个互联网、埋了二十多年的漏洞，怎么会突然同时曝光？答案自然是 AI，尤其是 OpenAI 和 Google 旗下的 Wiz。
安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，目标是找出开源软件中的缺陷。OpenAI 在一篇博客文章中披露，Calif 使用 GPT‑5.6 Sol 发现了其中一个漏洞。另一边，Wiz 团队同样借助 AI，也就是其 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 和 GPT-5.6 Sol，在 PHP 中发现了多个漏洞。
OpenAI 和 Wiz 都遵循了负责任的安全研究规范，在公开披露漏洞之前先与 PHP 团队合作开发补丁。随后几方共同梳理发现的问题、测试补丁，并邀请更多相关方参与协助。
Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站用的就是 PHP，但 WordPress 已发声明澄清：这个漏洞并非 WordPress 独有，使用其 CMS 的站点必须给服务器打补丁，并与托管服务商配合，确保网站受到保护。）
OpenAI 表示，这些漏洞是研究人员先于黑客发现的，因此目前没有野外利用的报告。这在一定程度上也因为：在 AI 出现之前，这些漏洞对黑客来说太难利用。“有了 AI，这不再是障碍。大语言模型（LLM）可以帮助把利用代码适配到不同的 PHP 版本、配置和内存布局，”Wiz 在关于这些漏洞的博客中警告说。
换句话说，这类安全问题既是因为 AI 才被及时发现并阻止，也仅仅因为 AI 才成为高风险。