AI发现十年PHP漏洞 政府网站紧急关闭

即时发现的悖论

一款AI工具发现了一个在PHP中存在十余年却未被察觉的漏洞。随后，它也让人人只需动动手指就能将这个漏洞武器化。

这就是本周发生之事的中心矛盾。8月21日，PHP开发者紧急发布了针对两个严重漏洞的补丁——被命名为PHP2Shell——在CVSS评分中高达9.2分。数小时内，荷兰的政府门户网站相继瘫痪。丹麦、芬兰、德国和奥地利的医院、学校和港口管理部门紧随其后。美国政府调动联邦机构和关键基础设施保护团队，推动补丁部署。

目前尚未有黑客被攻破的消息——至少没有人承认。但威胁格局在这一天内发生了剧变。

谁真正在运营着互联网

大多数英文报道都略过了一个关键事实：PHP驱动着全球约70%的网站。运营着约40%互联网的WordPress完全依赖它。Drupal、Joomla——全都是PHP。这不是一门由爱好者使用的小众语言。它是公共互联网的操作系统，而且极其古老。

两个PHP2Shell漏洞允许未认证的命令执行。攻击者无需账户、密码或任何特殊权限。他们只需发送一条精心构造的请求，便能瞬间掌控整台机器。数据窃取、网站篡改、完全接管系统——只要能抢先构造出利用工具，这些无所不能。

这个漏洞存在于PHP代码中已有十多年。发现它不仅需要阅读那些代码，还需要理解一个极其复杂的条件链——将一个服务器端缺陷与实际远程代码执行连接起来。正是这条链条在过去十年里将攻击者拒之门外。

AI的短路效应

故事到这里便焕然一新。

一家名为Calif的安全公司利用OpenAI的GPT-5.6 Sol发现了该漏洞，并于8月进行了报告。Alphabet旗下的安全子公司Wiz则独立使用自己的AI工具，结合Gemini 4 Argon和GPT-5.6 Sol，确认了同一个问题。

Wiz直言不讳地表示：一个原本需要全球研究团队耗费数月才能解决的难题，被一名独立研究人员仅用一周时间便绕过了。AI并未取代人类专业知识，而是消除了将好奇心转化为实际能力之间的摩擦。

这一点至关重要，因为这些相同的模型对所有人都开放。攻击者不再需要博士级别的逆向工程技术，他们只需要写好提示词。

结构性失灵

PHP基金会承认了一件令人不安的事实。2024年，开发者们在PHP代码中发现了漏洞的迹象，却无论如何无法追踪到具体的攻击路径，也无法就修复方案达成共识。基金会将之称作"结构性失败"——资源不足、决策流程不明，而维护者培养机制早已不堪重负。

这不是某个懒惰的开发人员跳过一行代码的故事，而是整个生态系统未能跟上自身规模的困境。PHP是开源免费的，但免费的基础设施需要持续的资金投入来维护，而这份投入一直捉襟见肘。

当PHP2Shell的细节和概念验证视频在预定披露日期之前泄露，开发者被迫将补丁发布时间提前了一天——至8月21日。他们试图跑在敌人前面，但这样做也同时向攻击者提供了关于他们正在修复什么以及如何修复的早期情报。

随后的赛跑

Cloudflare报告称，在补丁发布后立即观察到了初步的攻击尝试。美国网络安全和基础设施安全局（CISA）表示，目前尚未确认任何成功的入侵事件。这种观察与确认之间的空白地带，正是未来数周将展开博弈的战场。每一台运行未打补丁版本的PHP的服务器，都是一扇人人皆知如何开启却仍处于敞开状态的门。

网络基础设施分析公司Sensis发现，在其观察到的约260万个主机中，约有150万个运行的PHP版本根本无法接收此次修复。这些是已停止维护的旧版本服务器，没有升级路径，往往运行在过时的操作系统之上，由缺乏人员或技术能力进行迁移的组织所管理。

这150万个数字才是真正的故事。欧洲那些暂时关网的政府网站只是可见的症状，而那150万个无法触达的主机才是病灶本身。

谁赢谁输

赢家是AI安全厂商——Calif、Wiz以及所有开发类似工具的公司——它们借此证明了自身方法在大规模场景下的有效性。它们的客户获得了更强的防御能力，AI辅助漏洞发现的市场在一夜之间扩张。

输家是那些在已停产的服务器上运行旧版PHP的数以千计的组织，其中不少是政府机构、医疗机构和教育单位。这些组织无法简单地重新搭建一套新架构，它们面临数据迁移、合规要求和从未为如此深度的基础设施预留的预算。

政府夹在中间进退两难。荷兰、德国、芬兰和丹麦的应对策略——主动下线相关网站——是正确的决定。但将网站关闭并不等于确保安全。一个不存在的政府门户不会被攻破，但它也无法为民提供服务。

接下来会发生什么

眼前的压力很清楚：检查你的PHP是否已是最新版本，及时应用补丁，并验证安装结果。WordPress的自动更新并不涵盖此补丁，必须手动更新服务器层面的PHP运行时本身。对于那150万个运行不受支持版本的的主机而言，补丁不存在，唯一的出路是迁移——升级到受支持的PHP版本，而这通常需要应用层面的代码改动，小型组织根本无力在短期内消化。

美国NSA及欧洲各国安全机构建议，暂时无法打补丁的组织应立即屏蔽所有外部对受影响系统的访问，直到确认修复完成。英国国家网络安全中心（NCSC）则建议各机构排查是否存在被先前入侵的迹象。这两项措施都是对一种新型威胁的反应——这种威胁之所以存在，正是因为发现的速度远超防御的速度。

这种模式将会重演。AI工具现在发现大规模部署代码中数十年之久的漏洞，速度比任何人类研究团队都快。厂商根本无法以快于发现曲线的速度打出补丁。先一步到达漏洞的攻击者所享有的窗口期，以小时计算，而非以月计。

PHP2Shell事件并非异常，而是一次预演。