OpenAI 与 Google Wiz 用 AI 发现 PHP 多年漏洞，NSA 发出警告

美国国家安全局周三发出一则令人警觉的警告，称在 PHP 中发现两个严重漏洞，补丁已由 PHP 基金会发布。

PHP 是一种服务器端编程语言，在 Web 应用中被广泛使用，支撑着互联网上大约 70% 的网站；据某些统计，这超过 3300 万个站点。WordPress 等流行的内容管理系统也使用它。

NSA 警告称，这些漏洞非常严重，如果某个网站无法立即打补丁，就应将其下线，直到能够打补丁为止。这些漏洞允许攻击者侵入服务器的文件系统或 Web 应用可能使用的数据库。

有趣的是，这些漏洞自 2004 年发布的 PHP 5 版本以来，一直潜藏在所有版本的 PHP 中。运行较旧版本 PHP 的网站需要做一些更新工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前版本的 PHP，即 8.5.12。

那么，这两个影响互联网上几乎所有网站、存在了数十年且无处不在的漏洞，是如何突然被发现的呢？自然是 AI，尤其是通过 OpenAI 和 Google 的 Wiz。

安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，旨在发现开源软件中的漏洞。OpenAI 在一篇博客文章中披露，该公司使用 GPT‑5.6 Sol 发现了其中一个漏洞。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 和 GPT-5.6 Sol，在 PHP 中发现了多个漏洞。

OpenAI 和 Wiz 都遵循了负责任的安全研究实践，并在公开披露漏洞之前与 PHP 合作开发补丁。随后，他们共同完善了发现的问题并测试了补丁，还邀请了许多其他方提供帮助。

Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发表声明称该漏洞并非 WordPress 特有，运行其 CMS 的网站必须为服务器打补丁，并与网络托管公司合作以确保网站受到保护。）

OpenAI 表示，这些漏洞是由研究人员在黑客发现之前找到的。因此没有关于在野利用的报告。这在一定程度上也是因为，在 AI 出现之前，这些漏洞对黑客来说太难利用了。“有了 AI，这不再是障碍。LLM 可以帮助将漏洞利用适配到不同的 PHP 版本、配置和内存布局，”Wiz 在其博客中就这些漏洞警告道。

换句话说，这类安全问题是因为 AI 而被发现和阻止的，但也正是因为 AI 才成为高风险。

既然问题已经披露，黑客们就完全知情了。互联网正争分夺秒地为数千万个网站打补丁，赶在黑客攻击未打补丁的网站之前。因此 NSA 建议，如果你无法立即为你的 PHP 网站打补丁，最好将其下线，直到能够打补丁为止。

当你通过我们文章中的链接购买时，我们可能会赚取少量佣金。这不会影响我们的编辑独立性。

Julie Bort 是 TechCrunch 的初创企业/风险投资台编辑。

你可以通过发送电子邮件至 [email protected] 或在 X 上通过 @Julie188 联系或核实 Julie 的外联信息。

查看简介