PHP 末日危机：OpenAI 与 Google 旗下 Wiz 发现存在数十年的漏洞，引发互联网恐慌

# PHP 世界末日：OpenAI、Google 旗下 Wiz 发现古老漏洞，引发互联网恐慌 | TechCrunch Source: https://techcrunch.com/2026/10/21/php-armageddon-openai-googles-wiz-find-ancient-holes-panicking-the-internet/ 美国国家安全局（NSA）周三发布了一则令人震惊的警告 (https://x.com/NSACyber/status/2112903220209098897)，指出在 PHP 中发现了两个严重漏洞，PHP 基金会 (https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) 已经发布了补丁。 PHP 是一种服务端编程语言，在 Web 应用中使用极其广泛，为互联网上大约 70% 的网站 (https://w3techs.com/technologies/details/pl-php) 提供支撑；据估计，这超过 3300 万个网站 (https://medium.com/@harishsingh8529/stop-calling-php-dead-it-runs-70-of-the-internet-ec86749d7f0f)。WordPress 等流行的内容管理系统也依赖 PHP。 NSA 警告称，这些漏洞极其严重，如果网站无法立即修补，应该暂时下线，直到完成修补为止。攻击者可利用这些漏洞入侵服务器的文件系统或 Web 应用可能使用的数据库。 有趣的是，这些漏洞从 2004 年发布的 PHP 5 版本起就一直隐藏在 PHP 的所有版本中。未运行较新版本 PHP 的网站需要进行一些更新工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前版本，即 PHP 8.5.12。 那么，这两个影响互联网上几乎所有网站、存在了数十年的漏洞是如何突然浮出水面的呢？答案自然是 AI，特别是来自 OpenAI 和 Google 旗下 Wiz。 安全测试公司 Calif 参与了 OpenAI 的 "Patch the Planet" 计划，致力于发现开源软件中的漏洞。该公司利用 GPT-5.6 Sol 发现了其中一个漏洞，OpenAI 在一篇博客文章 (https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/) 中披露了这一发现。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 智能体、Gemini 4 Argon 和 GPT-5.6 Sol，发现了 PHP 中的多个漏洞。 OpenAI 和 Wiz 都遵循了负责任的安全研究流程，在公开披露漏洞之前与 PHP 团队合作发布了补丁。随后，各方通力合作，完善发现的细节并测试补丁，还吸引了众多其他机构协助。 Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发布声明 (https://x.com/WordPress/status/2112907323265917274)，表示该漏洞并非 WordPress 特有，运行其 CMS 的网站必须修补服务器并与 Web 托管公司合作，确保网站安全。） OpenAI 表示，这些漏洞是研究人员先于黑客发现的，因此没有出现野外利用的报告。这部分也归因于，在 AI 出现之前，黑客利用这些漏洞过于困难。"有了 AI，这不再是一道障碍。大语言模型可以帮助将漏洞利用适配到不同的 PHP 版本、配置和内存布局，"Wiz 在其关于这些漏洞的博客 (https://www.wiz.io/blog/php2shell-php-rce) 中警告道。 换句话说，这是一类因为 AI 才被发现和防范的安全问题，但也正是 AI 使其成为高风险问题。 如今漏洞已经公开，黑客也完全知情。互联网正与黑客赛跑，需要在黑客攻击未修补网站之前为数千万网站打上补丁。因此 NSA 才建议：如果你的 PHP 网站无法立即修补，最好先将其下线，直到完成修补为止。 *当您通过我们文章中的链接购买商品时，我们可能会获得少量佣金 (https://techcrunch.com/techcrunch-affiliate-monetization-standards/)。这不会影响我们的编辑独立性。* Julie Bort 是 TechCrunch 的初创企业/风险投资栏目编辑。 您可以通过发送邮件至 [\[email protected\]](https://techcrunch.com/cdn-cgi/l/email-protection#6a001f06030f440805181e2a1e0f090209181f04090244090507) 或在 X 平台上通过 @Julie188 (https://x.com/Julie188) 联系或核实来自 Julie 的外联信息。 查看简介 (https://techcrunch.com/author/julie-bort/)