PHP末日：OpenAI与谷歌Wiz发现古老漏洞，互联网恐慌

美国国家安全局本周三发出紧急警告：PHP语言中被发现两个极其严重的安全漏洞，补丁虽已由PHP基金会发布，但波及面之大足以让整个互联网紧张——全球约70%的网站、按某些统计超过3300万个站点运行在PHP之上，WordPress等内容管理系统同样在其列。NSA的建议相当直接：如果你的网站无法立即打补丁，那就先下线，直到能打为止。这两个漏洞允许攻击者侵入服务器的文件系统，或访问Web应用所使用的数据库。 真正值得玩味的是漏洞的发现方式。这两个漏洞自2004年发布的PHP 5版本起就潜伏在所有PHP版本中，二十多年未被察觉，最终却由AI揪了出来。安全测试公司Calif参与OpenAI的“Patch the Planet”开源软件漏洞挖掘计划，借助GPT-5.6 Sol发现了其中一个漏洞；谷歌旗下Wiz团队则动用其Wiz Atlas安全AI智能体、Gemini 4 Argon和GPT-5.6 Sol，找到了PHP中的多个漏洞。两家机构都遵循了负责任的安全研究流程，先与PHP方面协作修复、测试补丁，再对外披露，Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、微软和Vercel等公司也参与了联合处置。OpenAI表示，漏洞由研究人员先于黑客发现，目前没有野外利用的报告。 但这恰恰是AI时代安全攻防的一体两面。Wiz在博客中直言，在AI出现之前，这类漏洞对黑客来说利用难度太高，而“有了AI，这不再是障碍——大语言模型可以帮助将漏洞利用适配到不同的PHP版本、配置和内存布局”。换言之，这是一个因AI而被发现和阻止的安全问题，也正因AI而成为高风险问题。如今漏洞已公开，黑客同样掌握了全部细节，一场在攻击者动手之前为数千万网站打补丁的竞速已经开场。对于仍运行PHP 8.1及更早版本的用户来说，由于这些版本已停止支持，需要先完成升级，官方推荐的目标版本是当前的PHP 8.5.12。WordPress方面则特别声明，该漏洞并非WordPress独有，使用其CMS的站点必须为服务器打补丁，并与托管服务商配合确认防护到位。