OpenAI 与 Google 的 Wiz 借助 AI 在 PHP 中发现严重漏洞引发网络安全警报
PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
OpenAI 和 Google 的 Wiz 团队借助 AI 在广泛使用的 PHP 编程语言中发现了两个存在长达二十年的严重漏洞，促使美国国家安全局发出紧急安全警告。这些漏洞影响了自 PHP 5 以来的所有版本，可通过 AI 自动化攻击，目前 PHP 基金会已发布补丁，业界正加紧修复未升级的数千万网站。
同一件事，精选收录的是《PHP2Shell：AI 揭示 PHP 中的严重远程代码执行漏洞》
美国国家安全局（NSA）在周三发出了一则令人警惕的警告，称在 PHP 中发现了两个严重漏洞，PHP 基金会已经发布了补丁。
PHP 是一种服务器端编程语言，在网络应用中被广泛使用，支撑着互联网上大约 70% 的网站；据某些统计，这超过了 3300 万个网站。它也被 WordPress 等流行的内容管理系统所使用。
NSA 警告称，这些漏洞非常严重，如果一个网站无法立即打上补丁，就应该下线，直到能够修复为止。这些漏洞允许攻击者渗透进服务器的文件系统或网络应用程序可能使用的数据库。
有趣的是，这些漏洞一直隐藏在 2004 年发布的 5 版本以来的所有 PHP 版本中。没有运行相对较新版本的网站将需要进行一些更新工作，因为 PHP 8.1 及更旧版本已不再受支持。建议将网络服务器更新至当前的 PHP 版本，即 8.5.12。
那么，这两个无处不在、存在了数十个年头且影响互联网上几乎每个网站的漏洞，是如何突然曝光的呢？自然是人工智能，特别是通过 OpenAI 以及 Google 的 Wiz。
安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，旨在发现开源软件中的漏洞。OpenAI 在一篇博客文章中透露，该公司使用 GPT‑5.6 Sol 发现了其中一个漏洞。另外，Wiz 团队也使用了 AI，即其 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 和 GPT-5.6 Sol，发现了 PHP 中的多个漏洞。
OpenAI 和 Wiz 都遵循了负责任的安全研究实践，并在公开披露漏洞之前与 PHP 合作推出了补丁。随后，他们共同完善了发现的问题并测试了补丁，还吸引了许多其他各方提供帮助。
Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已经发表声明称该漏洞并非 WordPress 专有，运行其 CMS 的网站必须为其服务器打补丁，并与网络托管公司合作以确保网站受到保护。）
OpenAI 表示，这些漏洞是在黑客发现之前由研究人员找到的。因此，目前没有在野利用的报告。这也是部分因为在 AI 出现之前，这些漏洞对黑客来说太难利用了。“有了 AI，这不再是障碍。大语言模型可以帮助针对不同的 PHP 版本、配置和内存布局调整漏洞利用，”Wiz 在其关于漏洞的博客中警告说。
换句话说，这是一类因为 AI 被发现并得以预防，但也仅因 AI 的存在而构成巨大风险的安全问题。
既然问题已经披露，黑客们已完全知晓。互联网正展开一场竞赛，赶在黑客攻击未打补丁的网站之前，为数千万个网站修复漏洞。因此，NSA 给出的建议是：如果无法立即为你的 PHP 网站打补丁，最好将其下线，直到能够修复为止。
当您通过我们文章中的链接进行购买时，我们可能会赚取少量的佣金。这不会影响我们的编辑独立性。
Julie Bort 是 TechCrunch 的创业/风险投资板块编辑。
您可以通过发送电子邮件至 [email protected] 或在 X 上通过 @Julie188 联系 Julie 或核实其外联信息。
来源：TechCrunch · AI · techcrunch.com