AI发现致命PHP漏洞各国紧急应对

AI发现了互联网最脆弱的环节。人类能足够快地修补吗？

PHP——支撑全球70%网站的编程语言——中存在一个致命缺陷，但其发现者并非逐行审查代码的安全研究人员团队，而是AI工具。该漏洞被命名为php2shell，允许未经认证的攻击者在远程执行代码，影响所有运行受影响版本PHP的服务器。

漏洞公开披露后不到10小时，Cloudflare就报告在其网络上发现了数千次利用尝试。接下来的45分钟内，这个数字飙升至数万。两小时后：达到数十万。到了周四下午，NCC Group的Matt Hull形容这一速度是前所未有的。

“几年前，攻击者可能需要几周才能利用某个漏洞，“Hull说，“现在，可能只需要几天甚至几小时。”

php2shell事件远非又一个需要追踪的CVE编号。它是一个结构性信号：AI现在发现关键漏洞的速度，已经快过人的人工补丁和防御响应循环。其影响已经在政府、企业和个人服务提供商之间扩散。

自20世纪90年代初以来，PHP一直是动态网络内容的支柱。WordPress、Wikipedia、Drupal、Laravel、Symfony——这些以及无数更小的平台都运行于其上。帮助加州研究人员共同揭示php2shell漏洞的网络安全公司Wiz估计，PHP为全球70%的网站提供动力。

这种覆盖面使得针对性防护几乎不可能。英国南威尔士切普斯托的一家小型汽车维修店告诉BBC，其机动车年检认证系统自周三上午起就一直离线。店主仍能进行车辆检查，但无法打印证书或处理文件，被迫退回纸质记录和延迟客户服务。对于利润微薄的企业来说，每小时的停机时间都直接转化为收入损失和客户信任流失。

另一方面，亚马逊证实黑客试图利用该漏洞，但其网站仍正常运行。英国政府采取了不同措施：作为预防措施，它主动关闭了32项政府服务，仅保留四项部分可用。埃夫拉女男爵确认了上议院的这一情况，强调断网是预防措施，而非被入侵的证据。

“这并不意味着他们被黑客攻击了，“一名政府发言人说，“我们正在努力解决任何问题。”

选择将服务下线而非尝试快速打补丁，揭示了AI与人类防御者在运作方式上的根本不对称。AI可以在几分钟内生成概念验证利用代码；而人类团队必须协调变更管理、测试、回滚计划和利益相关者沟通——在没有引入新风险的情况下，这些流程无法加速。

这里的真正紧迫感在于时间。OpenAI——其工具帮助Wiz的研究人员发现了php2shell——现已接受英国政府咨询，参与应对工作。加速发现的同一种AI，正被要求加速缓解。但补丁部署与漏洞发现本质上是不同类型的工作。

发现具有可扩展性。打补丁则需要在无数独立系统管理员之间进行协调，每个人都按照自己的内部时间表、遗留依赖关系和预算限制开展工作。运行着十年老版本Drupal安装的市政委员会可能没有专业知识，在不破坏上游功能的情况下应用安全补丁。管理着众多客户网站组合的自由开发者缺乏资源来在数十种异构环境中测试更新。

NCC Group的Hull警告说，安全专业人员可能已经在事件开始几天后就面临严重的职业倦怠。“韧性既取决于技术，也取决于人，“他敦促团队分担工作量并休息。

php2shell漏洞早在2024年就被PHP基金会理论化。理论上的漏洞与实际可利用的漏洞并非同一回事。AI似乎在极短时间内弥合了这一差距，速度远超PHP背后的人类生态系统。

这创造了一种专家所称的"发现到利用的压缩"现象——即从公开知晓漏洞到大规模武器化的时间窗口缩短至接近零。在过去几十年里，这个时间窗口允许安全团队在攻击者大规模生产可用利用代码之前，开发签名、部署补丁和加固系统。但这种奢侈已不复存在。

php2shell事件已经产生了超出初始漏洞的连锁后果。保险公司正在重新评估网络责任政策，一些经纪人报告称收到小型企业咨询，担心他们是否能满足新的安全基准要求。云托管提供商正在将自动PHP更新通知整合到其仪表板中，以应对缺乏内部技术人员的客户的需求。

供应链影响也在浮现。基于PHP构建CMS平台、电子商务框架或SaaS产品的公司，正在应企业的紧急请求，要求确认其软件已打补丁。一些供应商通过正常发布周期提前发布热修复，为了速度而冒着引入回归的风险。

也许最悄无声息的是，该事件正在改变采购标准。多个司法管辖区的政府招标已开始要求展示可证明的补丁管理能力作为合同授予的前提条件——这一变化将不成比例地影响那些缺乏专职安全运营团队的较小承包商。

英国国家网络安全中心称此事件为"前所未有”，预计将"普遍感受到影响”。截至目前，尚无确认的成功入侵案例。但专家警告，全面影响可能需要数个月才能显现——那些在披露时观察但未立即利用的攻击者，仍可能在防御措施适应新常态后发动袭击。

php2shell事件还引发了一个关于网络安全研究未来的更深层次问题。当AI工具能够大规模地揭示关键漏洞时，瓶颈就从发现转向了响应。这一转变将有利于资源充足的组织，同时惩罚所有人——小企业、个人开发者和缺乏快速打补丁基础设施的资金不足的政府部门。

我们正进入一个时代，最有价值的安全资产不是发现漏洞的能力，而是在攻击者行动之前采取行动的能力。对于拥有成熟补丁管理流程、自动化测试和专职事件响应团队的组织来说，php2shell事件将是一场紧张但可应对的考验。而对于其他人，它可能证明是致命的。

保护互联网最古老和最广泛使用的语言的战斗，现在是一场对抗AI加速威胁环境的竞赛。人类防御者能否弥补这一差距，仍然是php2shell让任何人无法忽视的问题——而答案将定义未来多年的网络安全格局。