TechCrunch 播客讨论 PHP 重大漏洞是否暴露互联网脆弱的底层基础设施

本周早些时候传出了一则令人震惊的消息：由于开源编程语言 PHP 中最近发现的漏洞，网站所有者必须立即修补他们的网站——如果无法马上更新，为安全起见就应该把网站下线。

在本周的 TechCrunch Equity 播客节目中，Kirsten Korosec、Sean O'Kane 和我讨论了 PHP-ocalypse（PHP 末日事件）的重要性，以及未来我们是否会看到更多类似的事件。

Sean 称这是“一个真正的清算时刻”，它凸显出“当你深入到互联网的骨头层面”时，一切似乎都是“用胶水和梦想拼凑在一起的”。而随着大语言模型和 AI 智能体的广泛使用，发现这些漏洞只会变得越来越容易。（话虽如此，这些特定的漏洞是由人类研究人员发现的，而不是 AI 模型。）

与此同时，Kirsten 则想知道我们是否即将迎来“下一层级的末日准备者思维……因为你可以看到银行可能如何被利用，再加上数据和隐私方面的担忧，这一切感觉比我们现在能解决的要严重得多。”

请继续阅读我们对话的预览，内容经过长度和清晰度方面的编辑。

Sean： 这一周，互联网似乎正在以多种方式崩坏。 

我认为，如果人们对此毫无头绪，最好的思考方式是：在过去 10 年里，我们有多少次遇到这种某样东西崩溃或险些崩溃的时刻——某个人出于爱好维护着一个极小的可复现仓库，恰好发现有什么恶意的事情正在发生，从而拯救了整个互联网基础设施免于彻底崩溃？ 

现在把这种情况乘以十亿倍——因为人们不仅能使用人人都在用的 LLM 这类极其先进的软件，还能指派它们自己去执行任务，创造出专注于完成那些事情的 AI 智能体。 

本周我们看到了两股力量的博弈。一方面，Google 和 OpenAI 等一批实验室和公司确实派人找到了大量漏洞，包括 PHP 的那个漏洞。另一方面，也有一大批人似乎在争相利用这些漏洞试图入侵网站。于是我们看到政府下架网站，也看到一些非常热门的网站短暂下线以修复这个漏洞。

这是一个真正的清算时刻，我们将由此发现把互联网的如此多部分构建在 PHP 这类开源技术之上的下行风险。当你真正深入到互联网的骨头层面时，它是靠胶水和梦想拼在一起的。 

Anthony： 这件事有很多令人震惊的地方。其中一个就是——至少据我所知——这并不是一个新漏洞。这是一个在 PHP 中存在了几十年的漏洞。

PHP 作为一种编程语言被用来构建了互联网上大量的网站，所以这个漏洞已经存在了几十年，但没有人知道。实际情况是，这些大型 AI 公司——包括现已被谷歌收购的 Wiz——能够利用大语言模型（LLM）发现这些漏洞。[如上文所述，我这一点说错了：参与 OpenAI 和 Wiz 的 Hack the Planet 计划的人类研究人员发现了这些漏洞，尽管他们利用 AI 来利用这个 bug。]

我猜其中一部分考量是，我们必须修复这个问题，因为如果我们能利用 LLM 找到这个漏洞，其他人也可以。但要让补丁发布出去，唯一的办法就是公布这个漏洞。于是就造成了非常慌乱的局面，[他们说]：“好，这个漏洞已经存在几十年了。你必须立刻打补丁，如果不能立刻打补丁，就把你的网站下线。这个漏洞就是这么严重。”

Kirsten: 我认为很重要的一点是，很多人甚至没有意识到他们的网站使用着 PHP——正如你所提到的，这是一种有几十年历史的开源编程语言。 

对于不了解的人来说，PHP 的正式名称是超文本预处理器（Hypertext Preprocessor），它是内容管理系统背后的核心组成部分，这些系统被 WordPress、Drupal 以及大约 70% 的网站所使用。我们说的是数千万个网站。所以对我而言，关键在于规模。这也让我立刻想到两点：其一，这只是一个开始。还有哪些存在了几十年的糟糕软件会被利用？

另一点是 404 Media 提到的，他们做了一份非常出色的分析，那就是链接失效（link rot）。因为很多人、公司、政府，也许是那个小小的社区网站，都在把这些[网站]关掉。所以我们将迎来大量的链接失效，还有一些也许承载着一小段历史的网站将无法再被访问，而不是打补丁修复它们。

Sean: Anthony，我觉得你说得很有道理。我看到很多人对这次的漏洞披露流程不满意，也有些不满 OpenAI 在其相关文章中似乎表现出的那种逞强姿态。

另外，似乎有几个人抢在了这次发布的保密期之前，这在黑客圈子里引发了一场竞赛。我记得是 Cloudflare 的 CEO Matthew Prince 已经发帖表示，看到针对 PHP2Shell 的攻击尝试升级到了数百万次。

关于这类漏洞，网络安全领域通常的运作方式是：如果你在对一家公司的软件做压力测试，即使它是帮助运行大量不同计算机或互联网某些部分的基础软件或其他什么，你可以去找那家公司进行披露，事情基本上会局限在那个圈子里。但当我们谈论的是像这样深入且基础的东西时，你不可能悄悄地逐个通知所有人。 

我是说，也许可以，前提是 AI 足够先进，你能派十亿个智能体去给每一个掌控网站某部分的人发邮件。我们现在开始怀念那些网站管理员很容易找到的日子了，也许这在某种程度上能解决问题。但实在没有简单的办法。我认为这只是开端，接下来会有一波又一波的反复拉锯，而且显然这是网络安全领域的新边疆。

Kirsten: Matthew Prince 的社交媒体帖子在我看来非常能说明问题，而且相当吓人。另外，我不知道你们有没有看到，Amazon 也发布了一篇博客文章。这是一家资金非常雄厚的公司，所以他们有工具和团队来发现正在发生的事情。他们基本上运营着一个蜜罐网络，或者说诱饵网络，他们确实发现，在那个漏洞被公开披露之前，就有人试图利用它。 

在我看来，这又回到了这一点：Amazon 拥有对抗这些东西的工具、资金和专业知识。而那么多网站，甚至可能包括政府网站，都没有那种程度的关注。所以对我来说，这才是真正可怕的地方。 

还有一些 AI 员工可能会把这件事推向类似“末日准备者”的更极端程度，因为你可以看到银行会如何被利用，再加上数据和隐私方面的担忧，感觉问题比我们现在能解决的要大得多。所以我想关注两件事：一是人们的行为会变得多么极端——另外我也在想，是否会有新的初创公司因此涌现，或者我们是否会转向 [Nvidia 等公司提供的] 一些开源工具来构建这些安全层。

当你通过我们文章中的链接购买时，我们可能会获得少量佣金。这不会影响我们的编辑独立性。