AI挖出PHP潜伏约20年的高危漏洞“PHP2Shell”：全球网站紧急打补丁，多国机构建议暂时下线
· 来源：The Verge / OpenAI
借助OpenAI模型和Wiz智能体发现的两个PHP远程代码执行漏洞于10月21日修复，因影响WordPress等大量网站，多国安全机构建议无法立即修补的站点暂时下线。
10月21日，PHP开发团队发布安全补丁，修复两个被称为“PHP2Shell”的严重漏洞，严重性评分为9.2分（满分10分）。据网络安全公司watchTowr介绍，这两个漏洞都属于远程代码执行，影响自PHP 5以来的所有版本，攻击者可借此在服务器上运行自己的代码，篡改网站或窃取数据。
这次漏洞是由AI发现的。OpenAI称，安全公司Calif的研究员借助GPT-5.6 Sol赶在攻击者之前找到了这些漏洞，OpenAI还发布了一个开源工具，帮助开发者检查自己是否在使用需要修补的PHP版本。谷歌旗下Wiz安全团队也参与了发现，其联合创始人Ami Luttwak对《华尔街日报》表示，这是“迄今发现的最严重的AI漏洞”。Wiz指出，这一缺陷在PHP中存在了大约20年，过去要利用它“需要极其复杂的步骤链，处于人类研究员实际能力的边缘”，而强大的AI模型让这类隐蔽缺陷更容易变成可利用的漏洞。
由于PHP是互联网的基础技术之一，影响范围极大。有研究人员估计，可能受影响的联网主机超过130万台；WordPress安全插件厂商Wordfence警告，所有WordPress网站都运行在PHP之上，而且补丁无法通过自动更新安装，需要手动升级。
欧盟计算机应急响应小组、英国国家网络安全中心以及美国国家安全局（NSA）的网络安全账号都建议，无法立即更新的机构应先隔离或下线面向公网的应用。据The Verge报道，4chan、DeviantArt、维基百科等站点当天出现问题，荷兰和芬兰的部分政府机构预防性关闭了网站，GrapheneOS也暂时下线了用户论坛。
这起事件清楚地展示了AI在网络安全中的双刃剑效应：它能帮防守方提前找到深藏多年的缺陷，也让攻击者的门槛大幅降低。如何在漏洞被AI发现后组织全球协同披露和修补，正在成为新的治理课题。