OpenAI 与 Google Wiz 用 AI 发现 PHP 隐藏 20 余年的两个严重漏洞

美国国家安全局周三发出一则令人担忧的警告，称在 PHP 中发现了两个严重漏洞，PHP 基金会已发布了补丁。

PHP 是一种服务端编程语言，在 Web 应用中使用极为广泛，支撑着互联网上大约 70% 的网站；据某些统计，这相当于超过 3300 万个网站。WordPress 等流行的内容管理系统也使用 PHP。

NSA 警告说，这些漏洞极其严重，如果网站无法立即打上补丁，就应将其从网络上摘下，直到能修补为止。这些漏洞使攻击者能够侵入服务器的文件系统或 Web 应用可能使用的数据库。

有趣的是，这些漏洞自 2004 年发布的 PHP 5 起就一直隐藏在所有版本之中。没有运行较新 PHP 版本的网站需要做一些更新工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前版本的 PHP，即 8.5.12。

那么，两个如此普遍、存在数十年、几乎影响互联网上每个网站的漏洞，为何突然被发现？自然要归功于 AI，尤其是通过 OpenAI 和 Google 旗下的 Wiz。

安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，旨在发现开源软件中的漏洞。OpenAI 在一篇博客文章中披露，该公司使用 GPT‑5.6 Sol 发现了其中一个漏洞。另一方面，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全智能体、Gemini 4 Argon 和 GPT-5.6 Sol，在 PHP 中发现了多个漏洞。

OpenAI 和 Wiz 都遵循了负责任的安全研究惯例，在公开披露这些漏洞之前与 PHP 方合作完成补丁。随后他们共同梳理发现的内容并测试补丁，还召集了许多其他公司提供帮助。

Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发布声明称该漏洞并非 WordPress 特有，运行其 CMS 的网站必须为自己的服务器打补丁，并与网站托管公司合作以确保网站受到保护。）

OpenAI 表示，这些漏洞是由研究人员在黑客发现之前找到的，因此没有在野外被利用的报告。这部分也是因为在 AI 出现之前，这些漏洞对黑客来说太难利用了。“有了 AI，这不再是障碍。大语言模型可以帮助将漏洞利用代码适配到不同的 PHP 版本、配置和内存布局，”Wiz 在其博客中就这些漏洞发出警告称。

换句话说，这是那种因为 AI 才被发现并得以防范的安全问题，但也正因为 AI 才成了高风险问题。

既然问题已经披露，黑客们已完全知情。一场竞赛已经开始：互联网必须在黑客攻击未打补丁的网站之前，为数千万个网站完成修补。因此 NSA 建议，如果你无法立即为自己的 PHP 网站打补丁，最好先将其下线，直到能够修补为止。

当你通过我们文章中的链接进行购买时，我们可能会获得少量佣金。这不会影响我们的编辑独立性。

Julie Bort 是 TechCrunch 的初创公司/风险投资版块编辑。

你可以发送邮件至 [email protected] 联系 Julie 或核实其联系的真实性，也可以在 X 上通过 @Julie188 与她联系。

查看简介