七成网站靠PHP，AI挖出埋了二十多年的洞，也因AI成为高危

PHP是跑在服务器上的编程语言。互联网上大约七成网站靠它支撑，按一些统计超过3300万个站点。WordPress这类主流内容管理系统也建在它上面。

周三，美国国家安全局（NSA）发出警告：PHP里发现两个严重漏洞，PHP基金会已经发布补丁。这两个洞让攻击者能摸进服务器的文件系统，或进入网站应用可能用到的数据库。数据被读取、被篡改，都发生在这里。没法立即修补的网站，NSA建议先从互联网上撤下来。

更麻烦的是时间跨度。从2004年的PHP 5开始，所有版本都带着这两个洞，二十多年里一直埋在互联网的底层代码中。

挖出这两个洞的是AI。安全测试公司Calif参与了OpenAI的"Patch the Planet"计划，专门给开源软件找漏洞。它用GPT-5.6 Sol找到其中一个漏洞，OpenAI在博客里公开了这件事。谷歌的Wiz团队也靠AI。它用Wiz Atlas安全AI代理，搭配Gemini 4 Argon和GPT-5.6 Sol，找到多个漏洞。两家都先和PHP团队协作打好补丁，再对外公开。

Wiz在博客里解释了变化在哪：以前这些洞难到黑客基本无法利用，AI把这个障碍拆了。大语言模型能把一个漏洞的利用方法，适配到不同的PHP版本、配置和内存布局。这个安全问题因AI被发现、被阻止，也正因为AI才成为高危事项。

OpenAI说漏洞在研究阶段就被发现，黑客没拿到机会，因此没有野外利用的报告。但消息一公开，黑客就全知道了。互联网正赶在攻击发生之前，修补数千万个网站。WordPress发声明说，这个洞不是WordPress特有的，但用它的CMS的站点必须修补服务器，还要和托管公司配合。Wiz公开感谢了Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft和Vercel，这些基础设施公司是修补铺开时的关键协作方。

运行PHP 8.1或更早版本的服务器已不受支持，建议直接升级到当前版本8.5.12。数千万个网站要赶在黑客动手前补完，这场比赛刚刚开始。