美国国家安全局周三发出警告称，PHP 中发现了两个严重漏洞，PHP Foundation 已经发布了补丁。

PHP 是一种服务器端编程语言，被广泛用于网页应用，支撑着互联网上大约 70% 的网站；按某些统计，这一数字超过 3300 万个网站。它也被 WordPress 等流行内容管理系统使用。

NSA 警告称，这些漏洞严重到如果网站无法立即修补，就应该先从互联网上下线，直到完成修复。漏洞可能让攻击者渗透到服务器文件系统，或进入网页应用可能使用的数据库。

有意思的是，这些漏洞一直潜伏在自 PHP 5 以来的所有版本中，而 PHP 5 于 2004 年发布。未运行相对较新版本 PHP 的网站将需要进行更新，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前版本 PHP 8.5.12。

那么，这两个影响几乎整个互联网、存在了数十年的漏洞，为什么会突然浮出水面？答案是人工智能，尤其是 OpenAI 和谷歌旗下的 Wiz。

安全测试公司 Calif 受邀参与 OpenAI 的“Patch the Planet”计划，寻找开源软件中的漏洞。OpenAI 在一篇博客文章中表示，Calif 使用 GPT-5.6 Sol 找到了其中一个漏洞。另一方面，Wiz 团队也使用了 AI，包括其 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 和 GPT-5.6 Sol，来发现 PHP 中的多个漏洞。

OpenAI 和 Wiz 都遵循负责任的安全研究实践，并在公开披露漏洞之前先与 PHP 合作修补。随后，各方又一起梳理发现内容并测试补丁，还拉来多方协助。

Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发表声明称，这一漏洞并非 WordPress 特有，运行其 CMS 的网站必须修补服务器，并与网站托管公司合作，确保站点受到保护。）

OpenAI 表示，这些漏洞是在黑客发现之前由研究人员找到的，因此没有关于这些漏洞在野利用的报告。这在一定程度上也是因为，在 AI 出现之前，这些漏洞对黑客来说过于难以利用。Wiz 在介绍这些漏洞的博客中警告称：“有了 AI，这不再是障碍。LLM 可以帮助针对不同的 PHP 版本、配置和内存布局调整利用方式。”

换句话说，这类安全问题之所以被发现并避免，部分得益于 AI；但它之所以风险极高，也同样因为 AI。

如今问题已经披露，黑客也已完全知情。互联网正争分夺秒地在黑客攻击未打补丁的网站之前，修补数千万个网站。因此，NSA 建议，如果你无法立刻修补你的 PHP 网站，最好先将其下线，直到完成修复。