AI挖出潜伏十余年的PHP漏洞，美国安局警告修不了就先下线

凤凰网科技讯 北京时间10月22日，OpenAI与谷歌旗下网络安全公司Wiz披露，研究人员借助AI发现了PHP中的严重安全漏洞。美国国家安全局（NSA）已发布紧急建议，要求相关机构尽快更新系统，如果无法立即更新，建议暂时下线系统，直至风险得到充分缓解。

PHP是一种广泛用于网站和网络应用的服务器端编程语言，WordPress、Drupal以及维基百科使用的MediaWiki等软件均依赖它。此次披露的问题位于PHP核心引擎，涉及内存泄露和未经身份验证的远程代码执行。攻击者成功利用后，可能控制受影响服务器，或读取密码、身份验证令牌及API密钥等敏感信息。

据Wiz介绍，相关问题被归入两个漏洞编号，最高严重程度评分为9.2分，受影响版本可追溯至PHP 5.4。漏洞能否被利用，与具体版本、配置和部署情况有关，不能将PHP的广泛使用直接等同于所有相关网站均可被攻破。

PHP基金会已宣布发布PHP 8.5.12、8.4.27、8.3.36及8.2.35，修复上述严重漏洞。这意味着，网站运营者可以根据所用版本分支选择相应安全更新，无须一律升级至8.5系列。

此次漏洞发现涉及多支使用AI的研究团队。OpenAI表示，安全公司Calif参与其“Patch the Planet”计划，使用GPT-5.6 Sol发现了一项关键漏洞；Wiz也独立发现并报告了两项漏洞。PHP维护者负责修复和发布，OpenAI、Wiz及其他合作方参与研究、补丁验证和防护协调。

Wiz披露，其研究使用了Wiz Atlas安全智能体、Gemini 4 Argon和GPT-5.6 Sol。研究人员指出，这类内存漏洞过去需要复杂的分析、测试和调试，针对不同服务器环境还要反复调整。AI降低了这些工作的难度，使长期存在、过去难以实际利用的问题变得更具攻击可行性。

OpenAI称，据其掌握的信息，研究人员在攻击者之前发现了这些漏洞，为维护者提前准备修复和防护措施争取了时间。不过，同样的AI能力也可能帮助攻击者更快开发利用工具。随着漏洞细节公开，网站运营者能否及时部署安全更新，成为接下来降低风险的关键。（作者/于雷）