北京
AI辅助发现的两项PHP编程语言严重安全漏洞，引发多国政府网站及公共服务平台紧急下线。
据外媒报道，当地时间10月21日，网络安全公司Calif与OpenAI合作，借助AI模型发现PHP编程语言中的一项严重漏洞。谷歌旗下网络安全公司Wiz也独立发现了相关漏洞。随着漏洞细节披露，欧洲多国政府网站及公共服务平台采取临时下线措施，以防止漏洞遭到利用。
PHP开发团队已于10月21日发布安全更新。公开信息显示，PHP是一种广泛用于网站后台开发的编程语言。在能够识别服务器端编程语言的网站中，约70%使用PHP，因此相关漏洞可能影响大量互联网服务。
欧盟网络安全局发布声明警告PHP漏洞
欧盟网络安全局（ENISA）10月21日发布联合声明称，漏洞可能允许攻击者在未经身份验证的情况下，远程执行受影响服务器上的恶意代码，进而危及网站及其后台系统。
外媒援引网络安全公司Censys的统计称，截至10月21日，其监测到约258万个可从互联网访问的PHP主机，其中约158万个能够识别PHP版本号。在这之中约157.6万个报告的版本号早于此次安全修复版本。不过，Censys强调，部分系统可能已通过补丁完成修复，因此上述数字不能直接等同于实际存在可利用漏洞的主机数量。
据报道，荷兰、芬兰、法国、德国等国的部分政府网站及公共服务平台采取了临时下线措施。
荷兰暂时关闭了政府门户网站、鹿特丹港网站，以及部分医院和政党网站；芬兰国家信息技术服务提供商Valtori暂停部分政府公共网络服务；法国部分地方行政机构网站进入维护状态；德国联邦信息技术服务提供商ITZBund也关闭了部分网站。这些措施主要是为了在安全更新部署完成前降低风险。
欧盟网络安全机构建议，相关组织应识别所有使用PHP的应用，优先修复直接暴露于互联网的系统，并与托管服务商协调更新。暂时无法完成修复的，应考虑将相关应用与公共网络隔离。
而在国内，腾讯云安全中心、阿里云安全团队、奇安信CERT等也同步发布风险通告，警示该漏洞属于无需身份验证的远程代码执行高危漏洞，攻击者可构造特制multipart POST请求触发内存破坏，直接接管服务器、窃取业务数据，三家机构均提醒相关企业尽快开展资产自查，升级至对应PHP安全版本完成修复。
此次事件另一个值得关注的方面，是前沿AI工具参与了漏洞发现过程。
OpenAI在其官网发布的公告中提到，“过去两个月，我们牵头组建了一个由维护者、研究人员和安全服务商组成的联盟，共同应对PHP中的严重漏洞……考虑到这些漏洞的严重程度和PHP的广泛使用，我们认为这是近年来影响最大的安全问题之一。”
OpenAI还称，“尽管这些漏洞影响重大，但它们只是我们已经发现并正在着手修复的多个重大漏洞中的一部分。我们预计，未来几个月类似发现将大幅增加。”
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
