PHP 曝出两个致命漏洞：NSA 发警告，AI 既促成了发现，也放大了风险
- PHP 是服务端编程语言，在 Web 应用中使用极广，支撑了全球约 70% 的网站；按一些统计口径，这个数字是超过 3300 万个站点。
- WordPress 等主流内容管理系统都基于 PHP 运行。
- 更麻烦的是时间跨度：这两个漏洞潜伏在自 PHP 5（2004 年发布）以来的所有版本中。
漏洞本身允许攻击者侵入服务器文件系统，或入侵 Web 应用所使用的数据库。NSA 表示其严重程度极高，如果站点无法立即修补，应在补丁就绪前将其从公网下线。
核心变化：漏洞由 AI 发现，补丁已发布
补丁状态：PHP 基金会已发布对应安全更新。
发现路径：
- 安全测试公司 Calif 参与 OpenAI 的「Patch the Planet」开源软件漏洞挖掘计划，使用 GPT-5.6 Sol 发现了其中一个漏洞，OpenAI 随后在博客文章中披露。
- Wiz 团队则使用自研的 Wiz Atlas 安全 AI 智能体、Gemini 4 Argon 以及 GPT-5.6 Sol，在 PHP 中发现多个漏洞。
披露流程：OpenAI 与 Wiz 都遵循负责任的漏洞研究惯例，在公开披露前先与 PHP 团队协作完成补丁，再联合各方打磨发现结果、测试补丁，并邀请了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft、Vercel 等多家厂商参与。
关于 WordPress：Wiz 在致谢中提到 Automattic。WordPress 虽基于 PHP，但官方已发表声明，称该漏洞并非 WordPress 专属问题；使用该 CMS 的站点需要自行修补服务器，并与自己的主机服务商协作，确保站点安全。
当前无在野利用：OpenAI 表示，这些漏洞是被研究人员先于黑客发现的，因此没有真实攻击的报告。这一半要归功于 AI 出现之前，这类漏洞实在太难利用。
影响与建议
风险为何在今天变得更高——Wiz 在博客中警告：
「有了 AI，这就不再是一道门槛。LLM 可以帮助把 exploit 适配到不同的 PHP 版本、配置和内存布局上。」
换句话说，这是一类因为 AI 而被提前发现和阻止、同时又因为 AI 而变得高危的安全问题。而现在漏洞已经公开，黑客已完全知情，修复与攻击之间正在赛跑。
给站点和运维方的行动清单：
- 升级到当前版本 PHP 8.5.12。这是官方推荐的版本；仍在使用 PHP 8.1 及更老版本的站点需要补上一段升级工作，因为 8.1 及以下已不再受支持。
- 优先处理仍在运行 PHP 5.x–7.x 的站点。漏洞覆盖 2004 年以来的全部版本，老版本积压的升级量不小，建议分批排期。
- 无法立即打补丁的站点，先下线。这是 NSA 的明确建议——在补丁窗口内离线，优于留在公网等待被攻击。
- 核对主机侧：借助 Cloudflare、Fastly、Akamai 等边缘/托管层做临时缓解，但不要以此替代服务器层面的 PHP 升级。
给平台与生态的提醒：漏洞从发现到披露的链条完全在安全研究惯例之内，OpenAI 与 Wiz 的协作是一次正面的协调披露案例；但披露即公开这一点，意味着从今往后，AI 辅助的漏洞挖掘会在「发现速度」和「利用适配速度」两侧同时放大——防守方的修补窗口正在被压缩。
评论