美国国家安全局近日发出警告，称PHP存在两个严重安全漏洞，相关补丁已由PHP基金会发布。这并不是一次普通的漏洞通告。PHP是一种服务器端编程语言，支撑着约70%的互联网网站，按部分统计超过3300万个站点，WordPress等内容管理系统也依赖它运行。更值得关注的是，这些漏洞的发现过程与OpenAI、谷歌旗下Wiz等团队使用大模型进行安全研究直接相关。
这次事件把一个问题推到台前：当大模型开始参与代码审查和漏洞挖掘，网络安全不再只是“修补旧问题”，而是一场发现速度、补丁速度和攻击适配速度的竞赛。
一个存在二十年的问题，被AI翻了出来
NSA警告的两个漏洞，足以让攻击者渗透服务器文件系统，或访问Web应用可能使用的数据库。如果网站无法立即修补，NSA建议暂时下线，直到完成更新。漏洞影响范围之所以大，是因为它们存在于自2004年发布的PHP 5以来的所有PHP版本中。对于仍运行较旧版本的网站，升级压力尤为明显：PHP 8.1及更旧版本已不再获得支持，建议升级到当前版本PHP 8.5.12。
这些长期隐藏的漏洞为何在此时被集中发现？答案指向AI。安全测试公司Calif参与了OpenAI的“Patch the Planet”开源软件漏洞发现计划，并使用GPT-5.6 Sol发现了其中一个漏洞。Wiz团队也使用了多种AI工具，包括Wiz Atlas安全AI代理、Gemini 4 Argon和GPT-5.6 Sol，发现了PHP中的多个漏洞。这说明，大模型正在进入开源基础设施的安全检查流程，而不是停留在演示场景。
大模型不只读代码，也开始逼近攻击链
过去，漏洞挖掘高度依赖安全研究员对代码逻辑、内存结构、版本差异和利用链的经验判断。此次事件显示，大模型可以参与这一流程：它们可以阅读长期演进的代码库，辅助识别可疑模式，并帮助研究人员评估不同版本、配置和运行环境下的风险。
Wiz在相关博客中提到，在AI出现之前，这些漏洞对攻击者而言太难利用；但大模型可以降低这一门槛，帮助调整利用方式，以适应不同的PHP版本、配置和内存布局。这意味着模型能力正在从“解释代码”延伸到“辅助适配漏洞利用”。对安全团队来说，这是一种新的效率工具；对攻击者来说，也可能成为新的放大器。
- 防御侧：AI可以帮助研究人员更快发现深藏在旧版本中的问题。
- 攻击侧：AI可能降低复杂漏洞利用的门槛，让原本难以利用的漏洞更容易被适配。
- 运营侧：网站管理者不能只关注应用层，还要确认底层PHP版本、补丁状态和托管环境。
责任披露仍然重要，但窗口期被压缩了
OpenAI表示，这些漏洞由研究人员先于黑客发现，没有野外利用报告。OpenAI和Wiz也遵循了负责任的安全研究流程：在公开披露前与PHP方面合作制定补丁，随后共同完善漏洞细节并测试补丁。
协作范围还扩展到了更多基础设施和应用服务商。Wiz感谢了Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft和Vercel。WordPress也发布声明称，该漏洞并非WordPress特定问题，但使用WordPress CMS的网站仍需要修补服务器，并与网络托管公司确认站点是否受到保护。底层语言漏洞的影响不会停留在语言本身，而会沿着CMS、托管、CDN和云服务链条向外扩散。
AI发现漏洞之后，真正的考验是修补速度
对于普通网站运营者而言，这次事件给出的直接信号很明确：如果仍在运行旧版PHP，需要尽快确认是否已升级到受支持版本；如果无法立即修补，临时下线可能比带病运行更稳妥。对于依赖开源软件的企业来说，则需要把AI辅助安全研究纳入常态化机制，而不是把它当作一次性的应急工具。
更深层的变化在于，安全行业过去认为“复杂漏洞难以被发现、难以被利用”的前提正在松动。当大模型能够参与发现沉睡二十年的漏洞，攻防双方都会重新评估旧代码的风险。漏洞披露之后，攻击者也会获得同样的信息。互联网需要在攻击者利用之前，为数以千万计的网站完成补丁部署。这也是NSA提出严格建议的原因，也是AI时代安全研究带来的新压力。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/dang-da-mo-xing-kai-shi-shen-zha-php-er-shi-nian-jiu-lou
