OpenAI与Google旗下Wiz发现PHP自版本5起的两处高危漏洞，NSA建议无法立即修补就先下线

美国国家安全局周三发出了一则令人警惕的警告，称 PHP 中发现了两个严重漏洞，补丁已由PHP 基金会发布。

PHP 是一种广泛用于 Web 应用的服务器端编程语言，支撑着互联网上约 70% 的网站；据一些统计，这超过 3300 万个网站。WordPress 等流行的内容管理系统也使用它。

NSA 警告称，这些漏洞非常严重，如果网站无法立即打上补丁，就应将其从网上撤下，直到能够修复为止。这些漏洞允许攻击者渗透服务器的文件系统，或 Web 应用可能使用的数据库。

有趣的是，这些漏洞自 2004 年发布的第 5 版起就一直隐藏在 PHP 的所有版本中。未运行相对较新 PHP 版本的网站将需要进行一些更新，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前的 PHP 版本，即 8.5.12。

那么，这两个影响互联网上几乎每一个网站、存在数十年且极为普遍的缺陷，是如何突然曝光的？自然是借助 AI，尤其是通过 OpenAI 以及 Google 的 Wiz。

安全测试公司 Calif 参与了 OpenAI 旨在寻找开源软件缺陷的“Patch the Planet”计划。OpenAI 在一篇博客文章中披露，该公司使用 GPT‑5.6 Sol 发现了其中一个缺陷。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 以及 GPT-5.6 Sol，在 PHP 中发现了多个漏洞。

OpenAI 和 Wiz 都遵循了负责任的安全研究实践，在公开披露这些缺陷之前与 PHP 合作制定补丁。随后，各方共同完善所发现的问题并测试补丁，还召集了其他多方协助。

Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发表声明称，该缺陷并非 WordPress 所特有，运行其 CMS 的网站必须为服务器打补丁，并与其 Web 托管公司合作，以确保网站受到保护。）

OpenAI 表示，这些缺陷是研究人员在黑客发现之前找到的。因此没有在野利用的报告。部分原因也在于，在 AI 出现之前，这些缺陷对黑客来说太难利用。“有了 AI，这不再是障碍。LLM 可以帮助将漏洞利用适配到不同的 PHP 版本、配置和内存布局，”Wiz 在其博客中警告这些缺陷。

换言之，这是一类因 AI 而被发现并得以防范的安全问题，但同时也正因为 AI 才构成高风险。

既然问题已经披露，黑客已完全知情。一场竞赛已经开始：互联网要在黑客能够攻击未打补丁的网站之前，为数千万个网站打上补丁。因此 NSA 的指导是，如果你无法立即为 PHP 网站打补丁，最好先将其下线，直到能够修复为止。

当你通过我们文章中的链接购买时，我们可能会获得一小笔佣金。这不会影响我们的编辑独立性。

Julie Bort 是 TechCrunch 的初创企业/风险投资编辑部编辑。

你可以通过向 [email protected] 发送电子邮件，或通过 X 上的 @Julie188，联系 Julie 或核实来自她的联络。

查看简介