美国国家安全局（NSA）周三发出令人警觉的警告，称在 PHP 中发现两个严重漏洞，PHP 基金会已发布补丁。
PHP 是一种广泛用于 Web 应用的服务器端编程语言，支撑着互联网上约 70% 的网站；按某些统计，这意味着超过 3300 万个站点。热门内容管理系统 WordPress 也使用 PHP。
NSA 警告称，这些漏洞极其严重，如果某个网站无法立即修补，就应暂时下线，直到能够修补为止。这些漏洞可让攻击者侵入服务器的文件系统，或 Web 应用可能使用的数据库。
有趣的是，自 2004 年发布的 PHP 5 以来，这些漏洞一直潜藏在所有版本的 PHP 中。未运行相对较新版本 PHP 的网站将需要做一些更新工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新至当前版本 PHP 8.5.12。
那么，两个如此普遍、已存在数十年、几乎影响互联网上所有网站的漏洞，为何会突然曝光？答案自然是 AI，尤其是通过 OpenAI 和谷歌旗下 Wiz。
安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，旨在发现开源软件中的缺陷。OpenAI 在一篇博客文章中披露，该公司使用 GPT‑5.6 Sol 发现了其中一个漏洞。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 智能体、Gemini 4 Argon 和 GPT-5.6 Sol，发现了 PHP 中的多个漏洞。
OpenAI 和 Wiz 都遵循负责任的安全研究规范，并在公开披露漏洞前与 PHP 合作开发补丁。随后，各方共同完善发现内容、测试补丁，并邀请众多其他方协助。
Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（尽管 WordPress 网站使用 PHP，但 WordPress 已发表声明称，该漏洞并非 WordPress 特有；运行其 CMS 的站点必须修补服务器，并与网站托管公司合作，确保站点受到保护。）
OpenAI 表示，这些漏洞是在黑客发现之前由研究人员发现的，因此没有实际环境中遭到利用的报告。这在一定程度上也是因为，在 AI 出现之前，这些漏洞对黑客来说过于难以利用。Wiz 在其博客中警告称：“有了 AI，这不再是一道障碍。大语言模型可以帮助将漏洞利用适配到不同的 PHP 版本、配置和内存布局。”
换言之，这类安全问题因 AI 而被发现并阻止，但也正因 AI 才成为高风险。
如今问题已经公开，黑客已完全知情。互联网正争分夺秒，赶在黑客攻击未修补站点之前，为数以千万计的网站打补丁。因此，NSA 建议：如果无法立即修补你的 PHP 网站，最好先将其下线，直到能够修补为止。
