OpenAI 与 Google Wiz 用 AI 发现 PHP 高危漏洞，NSA 发出警告

美国国家安全局周三发出一则令人警觉的警告，称在 PHP 中发现两个严重漏洞，补丁已由 PHP 基金会发布。

PHP 是一种服务器端编程语言，在 Web 应用中使用极为广泛，支撑着互联网上约 70% 的网站；按某些统计，这超过 3300 万个网站。WordPress 等流行内容管理系统也使用它。

NSA 警告称，这些漏洞非常严重，如果网站无法立即修补，就应将其下线，直到能够修补为止。这些漏洞允许攻击者侵入服务器的文件系统或 Web 应用可能使用的数据库。

有趣的是，这些漏洞自 2004 年发布的 PHP 5 版本以来就一直潜伏在所有 PHP 版本中。未运行相对较新版本 PHP 的网站将需要做一些更新工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前 PHP 版本，即 8.5.12。

那么，两个影响几乎所有互联网网站、存在了数十年的普遍漏洞，怎么会突然被发现？自然是 AI，尤其是通过 OpenAI 和 Google 的 Wiz。

安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，以寻找开源软件中的漏洞。OpenAI 在一篇博客文章中披露，该公司使用 GPT‑5.6 Sol 发现了其中一个漏洞。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 智能体、Gemini 4 Argon 和 GPT-5.6 Sol，在 PHP 中发现了多个漏洞。

OpenAI 和 Wiz 都遵循了负责任的安全研究做法，并在公开披露漏洞之前与 PHP 合作开发补丁。随后，他们共同完善了发现结果并测试补丁，还引入许多其他方提供帮助。

Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发表声明称该漏洞并非 WordPress 特有，运行其 CMS 的网站必须修补服务器，并与网络托管公司合作以确保网站受到保护。）

OpenAI 表示，这些漏洞是由研究人员在黑客发现之前找到的。因此没有关于在野利用的报告。这在一定程度上也是因为，在 AI 出现之前，这些漏洞对黑客来说太难利用。“有了 AI，这不再是障碍。LLM 可以帮助将漏洞利用适配到不同的 PHP 版本、配置和内存布局，”Wiz 在其博客中就这些漏洞警告称。

换句话说，这类安全问题是因为 AI 才被发现和预防的，但也正是因为 AI 才成为高风险。

既然问题已经披露，黑客就完全知情了。互联网正在争分夺秒地在黑客攻击未修补网站之前，为数千万个网站打补丁。因此 NSA 建议，如果你无法立即修补你的 PHP 网站，最好将其下线，直到能够修补为止。

当你通过我们文章中的链接购买时，我们可能会赚取少量佣金。这不会影响我们的编辑独立性。

Julie Bort 是 TechCrunch 的初创企业/风险投资台编辑。

你可以通过发送电子邮件至 [email protected] 或在 X 上通过 @Julie188 联系或核实 Julie 的外联信息。

查看简介