NSA紧急拉警报：PHP两个致命漏洞藏了22年，全球七成网站危在旦夕 AI立功也惹祸？

麻薯滑芝士

2026年10月21号星期三，美国国家安全局，就是那个经常在各种谍战片里出现的NSA，突然发布了一条极其罕见的紧急安全警告。NSA在警告里说，他们在PHP这门编程语言里发现了两个非常要命的漏洞，而且PHP基金会那边已经紧急发布了对应的补丁程序。你可能觉得PHP这种东西离自己的日常生活很远，但实际上，你每天打开浏览器访问的各种网站，不管是刷新闻、逛论坛、看博客还是网购下单，背后有很大概率都在运行着PHP代码。

这门语言到底有多普及呢？根据业界的统计数据，全世界大约百分之七十的网站都是用PHP写的，如果换算成具体的数字，那就是超过三千三百万个网站在依赖PHP运转。就连那个撑起了无数个人博客和小型新闻网站的WordPress，它的底层也是用PHP编写的。所以这次发现的漏洞，波及范围之广，说是撼动了整个互联网的根基都不算夸张。



NSA在警告里把话说得非常重，他们说这两个漏洞的危险程度已经到了这样一个地步：如果你的网站没办法立刻打上补丁，那么最稳妥的做法就是干脆把这个网站从互联网上撤下来，让它彻底离线，直到你能够把漏洞修补好为止。为什么NSA会给出这么极端的建议呢？因为这两个漏洞一旦被不怀好意的人利用，攻击者可以直接渗透到你服务器的文件系统里面去，或者攻破网站后台所连接的数据库，把你辛辛苦苦积攒的用户注册信息、交易记录、文章内容等等数据一股脑全部窃取走，甚至还能往里面植入恶意的代码。更让人觉得后背发凉的是，这两个漏洞并不是最近才被人悄悄塞进代码里的，它们早在2004年发布的PHP 5版本里面就已经存在了。换句话说，这两个漏洞在暗处整整潜伏了二十二年，跟着PHP每一次的版本更新一路流传了下来，直到今天才终于被安全研究人员给揪了出来。如果你现在运行的还是PHP 8.1或者比这更老的版本，那么你面临的麻烦还不只是打个补丁那么简单——因为这些旧版本本身就已经停止了安全维护，不再接收任何安全更新了。正确的做法是先把你的服务器升级到目前最新的PHP 8.5.12版本，然后再把补丁打上去，这两个步骤缺一不可。

那么问题就来了：两个藏了二十多年、影响了几乎整个互联网的漏洞，为什么偏偏赶在这个时候突然被发现了呢？答案说出来可能会让你觉得既意外又在情理之中——是人工智能立下的功劳。具体来说，OpenAI和谷歌旗下的一家名叫Wiz的安全公司，分别动用各自的AI工具找到了这些漏洞。OpenAI那边搞了一个叫做“Patch the Planet”的计划，这个计划的目的是专门在开源软件里挖掘安全缺陷。他们找来了一家名为Calif的安全测试公司，这家公司用上了OpenAI目前最强悍的模型GPT-5.6 Sol，一下子就逮住了其中一个漏洞。与此同时，Wiz团队也没有闲着，他们动用了自己开发的Wiz Atlas安全AI代理，再配合谷歌的Gemini 4 Argon模型以及前面提到的GPT-5.6 Sol，一口气在PHP里挖出了好几个安全缺陷，其中就包括了那两个被NSA盯上的致命漏洞。

好在OpenAI和Wiz都没有拿到漏洞之后就急着到处张扬，而是老老实实地遵循了业界负责任的安全研究流程。这两家公司先是私下联系了PHP基金会的核心开发者们，大家一起分析漏洞产生的根本原因，编写修补用的代码，然后反复测试修复效果是不是真的管用。等到所有准备工作都做得差不多了，他们才公开发布了漏洞的具体细节和对应的补丁。在整个过程中，他们还拉上了一大批互联网行业的巨头来帮忙做最后的验证和测试，这里面包括了Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、微软和Vercel这些公司，每一家都在各自领域有着举足轻重的地位。特别值得一提的是，WordPress官方也专门发了一份声明，说这两个漏洞并不是WordPress独有的问题，只要是跑PHP的网站都有可能中招，所以使用WordPress建站的用户必须赶紧联系自己的服务器托管商，确保底层运行环境已经打好了补丁。

OpenAI在事后发布的一篇博客文章里提到，这些漏洞在被研究人员发现之前，黑客那边还没有任何人成功利用过它们，也就是说到目前为止没有发现任何真实的攻击案例。但这并不意味着我们就可以放松警惕了，因为以前黑客之所以没能利用这些漏洞，纯粹是因为技术门槛太高了——你需要针对不同的PHP版本、不同的服务器配置参数、不同的内存布局情况去手工调整攻击代码，这种事情一般人根本干不了。但现在情况已经完全不一样了，Wiz在他们发布的安全报告里毫不客气地警告说：“有了AI的帮助，这道门槛已经不复存在了。大型语言模型可以很轻松地把一个漏洞利用脚本改编成适配各种PHP版本和各种运行环境的版本。”换句话说，正是AI让这些原本“太难用”的漏洞变得人人都可以上手操作了。

这就形成了一个非常有意思但又让人头疼的局面：AI既是这次漏洞能够被提前发现并及时堵住的功臣，同时也正是让这些漏洞变成了巨大风险的根本原因。因为如果没有AI的帮助，黑客可能再过十年也未必能够搞定这些漏洞；但恰恰是因为有了AI，漏洞的利用门槛被瞬间拉低到了地板以下。现在漏洞的细节信息和补丁都已经公之于众了，全世界的黑客也都知道了这件事情。接下来就看谁能跑得更快了——是数以千万计的网站管理员抢在黑客动手之前把补丁打上去，还是黑客抢先对那些还没来得及修补的网站发动攻击。这也是为什么NSA给出了那么决绝的建议：如果你的网站没办法立刻打补丁，那就干脆先把它下线，等修好了再重新上线，这样做总比被人攻破、数据被盗要好得多。这场跟时间赛跑的修补大战已经正式拉开了帷幕，每一个站长、每一个运维人员现在都站在了最前线。未来这几天，互联网上注定不会平静，所有人都得打起十二分的精神来应对。

dstboxu

游客请登录后查看回复内容