AI 发现支撑全球七成网站的 PHP 代码漏洞，修复耗时两个月

安全公司 Wiz 等机构借助前沿 AI 模型，在 PHP 核心引擎中发现两个严重漏洞（名为 PHP2Shell，严重度评分 9.2），可让攻击者在未登录情况下在 WordPress、Drupal、Joomla 等站点上执行代码。这些问题存在了至少十年：老代码里对已释放内存的引用会被后续请求误当成有效数据，以往要挖出并串联利用条件非常费力；Wiz 称用 AI 后一名研究员约一周就完成了过去团队数月的工作。漏洞于 8 月下旬被报告，PHP 官方在 9 月下旬确认并联合各方修复，补丁在公开披露当天发布，但细节提前外泄，Cloudflare 在正式公告前约九小时已默认拦截攻击流量。对读者的提醒：防火墙规则只能挡攻击、不能替代补丁，运行 PHP 的站点应尽快升级到已修复版本，而 OpenAI 也借此提出了一套应对 AI 发现漏洞的五阶段协作框架，仍需社区完善。原文未说明各漏洞在具体版本中的详尽影响范围。