OpenAI 与 Google Wiz 用 AI 发现 PHP 两个存在二十余年的严重漏洞

美国国家安全局（NSA）周三发出一则令人警觉的警告，称在 PHP 中发现了两个严重漏洞，补丁已由 PHP 基金会发布。

PHP 是一种服务器端编程语言，在 Web 应用中被广泛使用，支撑着互联网上约 70% 的网站；据某些统计，这相当于超过 3300 万个网站。WordPress 等热门内容管理系统也使用它。

NSA 警告称，这些漏洞极其严重，如果网站无法立即打补丁，就应将其下线，直到能够修补为止。这些漏洞允许攻击者侵入服务器的文件系统或 Web 应用可能使用的数据库。

有趣的是，这些漏洞自 2004 年发布的 PHP 5 版本以来就一直隐藏在所有版本的 PHP 中。未运行相对较新版本 PHP 的网站将需要做一些更新工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前版本的 PHP，即 8.5.12。

那么，这两个几乎影响互联网上每一个网站、存在了数十年的普遍漏洞，是如何突然被发现的呢？自然是 AI，尤其是通过 OpenAI 和 Google 的 Wiz。

安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，以发现开源软件中的漏洞。OpenAI 在一篇博客文章中披露，该公司使用 GPT‑5.6 Sol 发现了其中一个漏洞。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 智能体、Gemini 4 Argon 和 GPT-5.6 Sol，来发现 PHP 中的多个漏洞。

OpenAI 和 Wiz 都遵循了负责任的安全研究实践，并在公开披露漏洞之前与 PHP 合作开发补丁。随后，他们共同完善了所发现的内容，并测试补丁，还引入了许多其他方提供帮助。

Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发表声明称，该漏洞并非 WordPress 特有，运行其 CMS 的网站必须为其服务器打补丁，并与 Web 托管公司合作以确保网站受到保护。）

OpenAI 表示，这些漏洞是由研究人员在黑客发现之前找到的。因此没有关于在野利用的报告。这在一定程度上也是因为，在 AI 出现之前，这些漏洞对黑客来说太难利用了。“有了 AI，这不再是障碍。LLM 可以帮助将漏洞利用适配到不同的 PHP 版本、配置和内存布局，”Wiz 在其关于这些漏洞的博客中警告。

换句话说，这类安全问题是因为 AI 而被发现和阻止的，但也正是因为 AI 才成为高风险。

既然该问题已被披露，黑客已完全知晓。互联网正在争分夺秒地为数千万个网站打补丁，赶在黑客攻击未修补网站之前。因此 NSA 建议，如果你无法立即为 PHP 网站打补丁，最好先将其下线，直到能够修补为止。

当你通过我们文章中的链接购买时，我们可能会赚取少量佣金。这不会影响我们的编辑独立性。

Julie Bort 是 TechCrunch 的初创企业/风险投资板块编辑。

你可以通过发送电子邮件至 [email protected] 或通过 X 上的 @Julie188 联系 Julie 或核实其外联信息。

查看简介