一个 22 年的 PHP 漏洞为何骤然演变为全球网络安全危机

AI 让一个存在 22 年的漏洞变成了实时武器

数十年来，这个漏洞一直存在于 PHP 之中——休眠、理论化、对每一个扫描互联网威胁的安全团队来说都隐形。它在技术上是可被利用的，但将其武器化所需的步骤链条过于复杂，只有最耐心、资金最雄厚的研究人员才可能驾驭它。直到 AI 出现。

本周，网络安全公司 Wiz Research 宣布，OpenAI 技术已被用于发现 PHP 中的关键漏洞。PHP 是支撑全球约 70% 网站运行的编程语言。美国国家安全局（NSA）称其为近年来最具影响力的漏洞之一。据 Cloudflare CEO 马修·普林斯（Matthew Prince）称，在披露后的前 45 分钟内，利用尝试已达数万级别。到周四，这些数字已攀升至百万级。

这里发生的事情不仅仅是又一份漏洞报告。它让我们窥见了互联网安全的一个新阶段——AI 不再只是协助研究人员，而是让那些曾经需要数年专业努力才能发现和利用的缺陷，变得人人可及。

PHP 的规模有多庞大

PHP 对普通用户来说往往隐形。你在浏览器地址栏或网站设计中看不到它。但在幕后，它运行着从 WordPress 网站到政府门户、银行界面和医疗系统的各种服务。自 20 世纪 90 年代中期以来，这种语言一直是互联网的骨干，数百万站点从未完全修补其 PHP 安装，因为更新遗留系统代码的成本实在太高。

正是这种惯性让此刻如此危险。这些漏洞已经存在了数年，或许数十年。从来没有人知道它们可以被利用。现在全世界都知道了，而构建自动化攻击工具的人比那些仍在公开服务器上运行旧版 PHP 的组织知道得早得多。

谁最先成为目标

过去几天出现的模式既可预测又令人警醒。数十个英国政府服务网站瘫痪。芬兰政府网站紧随其后。在法国，许多地方政府网站也曾短暂下线。日本首相高市早苗发出紧急请求，指出在无法快速打补丁的情况下，暂时关闭网站是降低风险的有效方式。中国工信部下令各单位审查安全漏洞。英国国家网络安全中心使用了仅在活跃威胁情况下才会出现的措辞：“立即采取行动。”

共同的线索是紧迫感，而非恐慌。这些并非针对已确认的大规模泄露事件的回应——至少目前还不是。这是对"泄露终将发生"这一确定性的回应。那些尚未更新 PHP 的组织，现已处于自动化脚本的瞄准范围内，而这些脚本无需人类指令就能发现它们。

AI 因素改变了所有规则

Wiz Research 直言不讳地谈到了 AI 所扮演的角色。该组织称，要证明这些 PHP 漏洞的可利用性，需要"一个极其复杂的步骤链条，处于人类研究人员 practically achievable 能力的边缘"。而 AI 模型"大幅降低了这一门槛，将一项长期存在的缺陷转化为可利用的武器"。

用通俗的话来说：漏洞一直都在。缺失的是快速串联步骤的能力，以证明它可以在真实环境中被使用。AI 将研究团队原本需要数年才能完成的工作，压缩到了该公司只需一小段时间即可验证的程度。

这不仅关乎 PHP。同样的模式将在互联网上的其他遗留系统中重演——这些系统诞生于计算能力有限的年代，诞生于威胁行为者工具较少、此类复杂漏洞可能要再过十年才会被发现的时代。AI 不会制造漏洞。但它移除了让许多漏洞一直隐藏的瓶颈。

谁赢谁输

赢家是那些已经现代化其基础设施的组织，或者是本周行动足够迅速、已应用 PHP 基金会发布的补丁的组织。他们的系统已经加固，他们的团队预判到了披露后可能出现的快速利用浪潮。

输家是反应较慢的组织——而在网络安全领域，迟缓是以小时而非天来计算的。每一台仍在运行未修补 PHP 版本的服务器，现在都对正在实时构建和优化的攻击基础设施可见。风险并非抽象概念。成功利用后，攻击者可以控制服务器、窃取敏感数据、篡改网站。暴露在外的规模由 70% 这个数字定义。

还有一个更为安静的输家：对互联网维护文化的信任。这样一个严重级别的漏洞能够在互联网的如此大部分区域中存在且未被修补这么久，这是一个结构性问题，而非暂时性问题。修补 PHP 并不光鲜。它需要精力、协调和资金——而这恰恰是最需要这些资源的组织最短缺的东西。

接下来会发生什么

NSA 警告称， heightened awareness 应持续数周。这个时间线意味深长。这意味着初期的利用浪潮预计将持续远超新闻周期的时间。自动化工具将继续扫描易受攻击的服务器，新的漏洞变体将不断涌现。补丁已经存在，但分发和安装始终落后于发现——对遗留系统而言尤其如此。

Cloudflare 的马修·普林斯亲历了第一波浪潮。随后发生的数百万次尝试，并非由有组织的犯罪集团或国家黑客单独发动。它们是由脚本、机器人和自动化系统发起的——这些系统现在已经掌握了漏洞利用的蓝图。这份蓝图将比当前的头条新闻更为持久。

更广泛的教训是严峻的。AI 已经降低了从理论漏洞走向现实武器化之间的门槛。对于每一个 PHP 式的缺陷，很可能还有数十个潜伏在支撑互联网运行的代码中——那些人类研究人员可能没有时间和工具去解锁的缺陷。补丁速度需要追上发现速度。在它追上之前，下一次危机不会等待新闻周期来发现它。