关注我

AI挖出隐藏十几年的高危漏洞，互联网要不太平了

10月20日凌晨，海外知名开发者社区Hacker News上突然曝出两条CVSS评分均为10.0的PHP远程代码执行漏洞。发帖人神秘兮兮地表示，“消息来源：信我，就行”，并提醒在生产环境中使用PHP的开发者提前做好准备。

作为一套开源且行业通用的漏洞风险量化标准，通用漏洞评分系统（CVSS）由NIST（美国国家标准与技术研究院）主导维护，核心目标是通过标准化指标客观评估漏洞的严重程度，帮助安全人员、开发者和运维人员统一风险认知，优先处理高风险漏洞。在CVSS评分体系中，10.0是最高分，属于最严重的级别。

尽管Hacker News上从不缺少发布“末日预言”的谜语人，但这次不同，它竟然是真的。随后，美国国家安全局（NSA）、英国国家网络安全中心（NCSC）等机构，以及奇安信等网络安全厂商相继发出警告，称PHP中确实发现了两项关键漏洞，要求相关组织尽快采取防护措施，如果网站无法立即修复，则应将其下线，直到修复完成。

此外，PHP官方也紧急宣布，原定10月22日的安全更新被迫提前至10月21日晚10点，以缩短漏洞暴露的时间。然而，或许是由于忙中出错，一家参与发现这些漏洞的安全公司，竟然不小心将利用这些漏洞的攻击演示视频发到了网上。这下，黑客们原本只知道有漏洞，却不知道如何利用，结果有人“雪中送炭”了。

这两个漏洞的威力很容易形容：攻击者甚至无需获取管理员权限，只需向网站服务器发送几个特殊请求，就能在服务器上执行自己的代码。因此，在这十几个小时里，全球互联网陷入混乱，无数网站被迫停服，通过“居家隔离”的方式避免被黑客盯上。

那么问题来了，为什么PHP有漏洞，整个互联网都会风声鹤唳呢？这是因为PHP在互联网，尤其是Web端的应用实在太广泛。在程序员圈子里有一个经典笑话：如何让一个开发者论坛的人吵起来？答案很简单，只需说一句“PHP是世界上最好的语言。”

PHP官方自夸它是“世界上最好的语言”并非毫无根据。易于学习和部署的特性，使得大量开发者能够快速上手进行Web开发，搭建网站和应用。WordPress等内容管理平台的流行，为PHP提供了广阔的应用场景，而Zend等开发框架以及Discuz!论坛等应用方案的出现，则进一步丰富了PHP的生态。

过去十多年间，PHP成为Web开发中的首选语言，大量网站和应用都基于PHP开发，它为全球约75%已知编程语言构成的网站提供了底层支撑。有趣的是，这两个影响PHP安全的漏洞已经存在了超过十年，而它们其实是AI挖掘出来的。

谷歌旗下的网络安全公司Wiz在博客中披露，其自主AI漏洞研究工具Wiz Atlas结合谷歌Gemini 4 Argon及OpenAI的GPT-5.6 Sol，发现了上述漏洞。Wiz方面指出，这些漏洞在PHP代码库中隐匿了逾十年，如果依赖人工排查，其利用难度极高，在AI出现之前，这一手工工作实施困难，更难以规模化推进。

从某种意义上来说，经此一役，网络安全行业将被AI彻底改写。

以往，网络安全攻防属于“乡村械斗”，烈度其实很低，但AI的出现使网络安全变成了“现代战争”。要知道，黑客也是人，精力有限，即便有各种自动化工具帮忙，想要挖掘出一个有攻击价值的漏洞，也需要以周为单位的时间。

而且，成为黑客也有门槛，所以整个互联网世界看起来才相对祥和。但AI不同，它让网络攻击也变得“技术普惠”了。例如，从9月底到10月初，韩国至少有7家金融机构遭到网络攻击，超过6.8万名客户的个人信息被泄露，而发起这一攻击的人只是个“脚本小子”，ta利用DeepSeek V4.1-Flash、GLM-5.3、Grok 4.6拼成了一条隐蔽的攻击流水线。

之所以说这位黑客是蹩脚的“脚本小子”，是因为网络安全公司CrowdStrike在事后调查中发现，这位黑客控制的服务器竟然可以被外部访问，ta如何向智能体分发任务，乃至询问“韩国泄露的数据通常在哪里出售”，都以未加密的状态存储在服务器上，从而让网络安全研究人员精准定位了ta的身份信息。

AI带来的效率倍增和技术普惠，不仅会让“脚本小子”受益，资深黑客更是如虎添翼。接下来，互联网世界可能就要不太平了。

本文来自微信公众号“三易生活”（ID：IT-3eLife），作者：三易菌，36氪经授权发布。