OpenAI与Google旗下Wiz借助AI发现PHP长期漏洞，NSA敦促未修补网站下线
PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
OpenAI和Google旗下Wiz团队借助AI发现了PHP中的严重漏洞；美国国家安全局警告，无法立即修补的网站应暂时下线。漏洞存在于PHP 5以来的版本，PHP基金会已发布补丁；PHP 8.1及更早版本已停止支持，建议更新至PHP 8.5.12。OpenAI称研究人员先于攻击者发现漏洞，目前没有漏洞在野利用的报告；Wiz警告，LLM也能帮助攻击者将利用方式适配到不同PHP版本、配置和内存布局。
AI协助发现长期潜伏的PHP漏洞，也降低了针对不同版本和配置适配攻击的门槛，报道呈现了这类工具在安全研究中的双重作用。
美国国家安全局周三发出令人警觉的警告，称 PHP 中发现了两个严重漏洞，PHP Foundation 已发布修复补丁。
PHP 是一种服务器端编程语言，广泛用于 Web 应用，支撑着互联网上约 70% 的网站；据一些说法，这超过 3300 万个网站。它也被 WordPress 等流行的内容管理系统使用。
美国国家安全局警告称，这些漏洞严重到如果网站无法立即打补丁，就应该先将其从网上下线，直到完成修复为止。这些漏洞允许攻击者侵入服务器的文件系统，或侵入 Web 应用可能使用的数据库。
有趣的是，自 2004 年发布的 PHP 5 起，所有版本的 PHP 都潜藏着这些漏洞。未运行较新 PHP 版本的网站需要进行一些升级工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前版本的 PHP，即 8.5.12。
那么，两个如此普遍、存在数十年且影响互联网上几乎所有网站的漏洞，是如何突然被发现的？自然是 AI，尤其是 OpenAI 和 Google 旗下的 Wiz。
安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，旨在发现开源软件中的漏洞。它使用 GPT‑5.6 Sol 找到了其中一个漏洞，OpenAI 在一篇博客文章中披露了这一点。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 和 GPT-5.6 Sol，在 PHP 中发现了多个漏洞。
OpenAI 和 Wiz 都遵循了负责任的安全研究实践，并在公开披露漏洞前与 PHP 团队合作发布补丁。随后，各方共同梳理发现的问题并测试补丁，还邀请了许多其他团队参与协助。
Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress已发表声明称，该漏洞并非 WordPress 特有；运行其 CMS 的网站必须修补服务器，并与 Web 托管公司合作，确保网站受到保护。）
OpenAI 表示，这些漏洞是在黑客发现之前由研究人员发现的。因此，没有关于漏洞在野外遭利用的报告。这在一定程度上也是因为，在 AI 出现之前，黑客很难利用这些漏洞。Wiz 在关于这些漏洞的博客中警告：“有了 AI，这就不再是障碍。LLM 可以帮助将漏洞利用方式调整到不同的 PHP 版本、配置和内存布局。”
换言之，这类安全问题之所以能被发现并得以防范，是因为 AI；但它也正是因为 AI 才带来了高风险。
如今漏洞已被披露，黑客已经完全知情。互联网正与时间赛跑，力争在黑客攻击未修补的网站之前，为数千万个网站打上补丁。因此，美国国家安全局建议，如果无法立即修补 PHP 网站，最好先将其下线，直到能够完成修补。
当您通过我们文章中的链接购买商品时，我们可能会获得少量佣金。这不会影响我们的编辑独立性。
Julie Bort 是 TechCrunch 初创公司/风险投资编辑部的编辑。
您可以通过电子邮件 [email protected] 联系 Julie，或通过 X 上的 @Julie188 核实她发出的联系信息。
来源：TechCrunch · AI · techcrunch.com