PHP关键漏洞：AI如何发现十年陈年隐患

驱动了互联网四分之三流量的代码，刚刚证明它无法保护自己。

据 W3Techs 统计，PHP 运行着约 75% 的所有可识别网站。基于 PHP 的 WordPress 占整个互联网的约 43%。10 月 21 日，PHP 开发团队披露了两项关键漏洞，可导致无需任何身份验证的远程代码执行。攻击者不需要凭据、无需登录界面、无需可利用的表单字段——只需发出精心构造的请求，即可掌控服务器。

数小时内，欧洲各国机构开始将旗下网站下线。荷兰关闭了政府门户网站、国家足球联合会及多家主要政党网站；芬兰出于预防目的将其公共网络服务切断；丹麦和比利时紧随其后，对政府和议会网站采取了类似的预防性关停。补丁原定 10 月 22 日发布。然而到 10 月 20 日，关于该漏洞的细节已出现在在线公告板上，迫使团队提前一天发布修复方案。Cloudflare 的安全研究人员证实，在补丁发布前，初期攻击尝试已零星出现。

这不是一起常规漏洞。这是一次结构性事件——将多年缓慢累积的风险压缩进一个下午。

AI 发现了人类忽略超过十年的缺陷。

该漏洞存在于 PHP 代码中已超过十年。韩国网络安全公司 Calif 使用 OpenAI 的 GPT-5.6 Sol 模型发现了这一缺陷。谷歌支持的网络安全公司 Wiz 也独立发现了这两项漏洞并进行了报告。Wiz 联合创始人 Ami Rootwick 称，这是他见过由 AI 发现的最严重的漏洞，指出这些代码路径过于复杂，人类审查者若不投入巨大时间成本便无法追踪。

OpenAI 在自身的新闻稿中表示，该缺陷的严重性与 PHP 的庞大规模相结合，使其成为该公司近期见过的最具影响力的漏洞之一。

这一细节的重要性远超表面。传统的网络安全模式基于一种不对称性：防御者需要发现所有漏洞，而攻击者只需找到一个即可。AI 在两个方向上都缩小了这一差距。当帮助安全团队发现漏洞的工具同样能帮助攻击者更快地映射攻击面时，发现与利用之间的时间线将大幅压缩。PHP 事件正是这一转变的早期案例——它表明，漏洞发现不再受限于人类审计师的带宽。

真正的问题不是 PHP，而是对 PHP 的依赖。

技术修复方案已经存在。更难的问题在于部署。数百万个网站——尤其是运行较旧版本 WordPress、Joomla 或自定义 PHP 应用的网站——背后是多年未更新的服务器。其中许多系统属于缺乏专职 IT 团队的小型企业、地方政府和非营利组织。原则上，修补 PHP 并不复杂，但在实践中，它需要测试可能破坏自定义插件的工作、更新服务器配置并管理停机时间——这些都是许多小型运营者无力承担的奢侈。

该漏洞允许未经身份验证的远程代码执行。这意味着任何仍在运行未修补 PHP 版本的网站实际上都敞开大门。没有部分修复方案，也没有防火墙的变通方法。代码本身在根本层面已被破坏，而补丁只为那些安装它的人关门。

这就是为什么欧洲机构的关停事件意义远超其直接干扰。政府并非生来脆弱。如果国家级政府因无法确保其 PHP 栈已修补而选择将网站下线，那么 countless 小型组织未能及时收到警告的可能性极高。关停是可被看到的，而隐藏在后台的感染则否。

二级效应已经在向外蔓延。

保险市场正在重新校准。过去将遗留软件依赖视为可接受基线风险的网络安全险保单，如今正被重新评估。经纪人报告称，承保方现在会询问客户能否证明其 PHP 基础设施符合当前补丁标准——这一问题此前并非标准流程。无法给出肯定答复的企业可能面临更高的保费，或在其最脆弱时出现保障缺口。

企业迁移策略正在被压缩。原本计划用两到三年逐步从 PHP 过渡到现代技术栈的组织，现在正在加速时间表。问题已从“我们何时迁移？”转变为“在迁移前，我们能承受的最小暴露窗口是多少？”Shopify、Squarespace 以及完全抽象掉 PHP 的企业级 CMS 解决方案等托管平台，正看到来自中型市场买家的咨询量增加——这些买家此前一直推迟这一决策。

监管角度仍在形成中，但很可能趋于固化。欧盟《数字运营弹性法案》（Digital Operational Resilience Act）已对金融-sector 技术供应商施加要求。此次事件几乎必然将讨论扩大到：关键数字基础设施——尤其是面向公众的政府服务——是否应接受强制性的依赖审计。问题不在于监管是否会跟进，而在于其适用范围有多广。

谁赢谁输，以及接下来会发生什么。

直接的输家是任何运行未修补 PHP 基础设施的人。这包括数千个小型企业网站、区域性政府门户以及尚未迁移的遗留企业系统。在补丁发布前迅速行动的攻击者已 harvesting 了数据、植入了后门或在网络内部建立了立足点——这些系统现在需要进行取证清理，即使尚未涉及勒索诉求或监管罚款，每起事件也可能给组织带来六位数成本。

赢家则不那么光鲜。威胁情报公司和安全供应商的需求将飙升。已经运行在现代技术栈上的公司——React 后端、Go 服务、托管平台——将显得相对稳固。PHP 本身可能面临类似 Flash 二十年前所经历的清算：业界早已知道这项技术是负担，但转型缓慢是因为依赖根深蒂固。如今，这一转型正由单一漏洞而非缓慢的市场压力强制推动。

更长期的影响更难量化，却更为深远。AI 在基础语言中发现十年前的关键缺陷，改变了安全团队评估风险的方式。如果 AI 能找到数千名人类审查者在十年内都忽略的漏洞，那么“我们本应会发现这个问题”的假设就不再站得住脚。安全审计需要将 AI 驱动的分析纳入标准流程，而非可选增强。继续仅依赖传统人工审核周期的组织，将始终处于系统性过时的风险评估之下。

补丁已发布。截止日期尚未到来。

PHP 社区已发布修复方案。攻击面正在缩小——但仅对今日更新的平台而言。对于数百万无法更新、不知道自己存在漏洞，或等待一个可能永远不会到来的维护窗口的运营者而言，时钟仍在走动。漏洞是真实的。攻击者是真实的。而这两个事实之间的差距，恰恰是用时间来衡量的——那正是互联网遗忘如何更新的一门语言。