北京
周三，美国国家安全局（NSA）发出一则警告：PHP 里被找到两个严重漏洞，补丁已经由 PHP 基金会发布。警告的措辞不留余地——如果一台服务器没法立刻打补丁，那就先把它从网上摘下来，等能打了再挂回去。
PHP 是一门服务端编程语言，在 Web 应用里用得极广，粗略算下来支撑着互联网上约 70% 的网站；按某些统计口径，这个数字超过 3300 万个站点。WordPress 这类流行的内容管理系统也跑在它上面。换句话说，这两个洞不是某个小众项目的私事。
洞能干什么？攻击者可以借此钻进服务器的文件系统，或者摸到 Web 应用可能用到的数据库。严重程度到了这个份上，NSA 才会给出“先下线”这种建议。
更让人后背发凉的是它们藏了多久。这两个漏洞存在于 PHP 5 版本以来的所有版本里，而 PHP 5 是 2004 年发布的。也就是说，它们在一门撑起大半个互联网的语言里静静躺了二十多年。还在跑旧版本站点的运维得准备干活了：PHP 8.1 及更早的版本已经不再受支持，官方建议把 Web 服务器升到当前版本 PHP 8.5.12。
那么问题来了：两个如此普遍、年代如此久远的缺陷，怎么会突然一起浮出水面？答案是 AI，具体说是 OpenAI 和 Wiz 团队的手笔。
安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，任务是在开源软件里找漏洞。OpenAI 在一篇博客文章里披露，它用 GPT‑5.6 Sol 找到了其中一个。另一边，Wiz 团队同样动用了 AI——自家的 Wiz Atlas 安全智能体、Gemini 4 Argon 以及 GPT-5.6 Sol——在 PHP 里挖出了多个漏洞。
两家都按负责任的安全研究流程走：先和 PHP 方面一起做补丁，再公开披露。之后各方合力把发现的问题补全、把补丁测透，还拉了一大批人进来帮忙。Wiz 致谢的名单里有 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、微软和 Vercel。
WordPress 方面则发了一份声明划清界限：这个漏洞不是 WordPress 特有的，跑它这套 CMS 的站点必须给服务器打补丁，并和自己的主机服务商配合，确保站点受到保护。
OpenAI 表示，这些漏洞是研究人员先找到的，黑客还没发现，因此没有野外利用的报告。这在一定程度上也是因为，在 AI 出现之前，这些洞对黑客来说太难利用了。Wiz 在其博客里警告：“有了 AI，这不再是障碍。大模型能帮忙把漏洞利用适配到不同的 PHP 版本、配置和内存布局上。”
于是局面变得微妙：这类安全问题是因为 AI 才被找到并阻止的，但它之所以成为高风险，同样是因为 AI。漏洞公开之后，黑客已经全知道了。一场赛跑已经开始——互联网得赶在攻击者动手之前，把数以千万计的网站补上。这也正是 NSA 那句建议的由来：补不了，就先下线。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
