AI tools discover severe PHP vulnerabilities that lay dormant for over a decade, threatening about 75% of websites worldwide

全球互联网基础设施面临自人工智能工具普及以来最严峻的安全威胁之一。

美国国家安全局（NSA）周三发出紧急警告，研究人员借助AI工具在PHP编程语言中发现了两处严重安全漏洞，全球大量网站因此面临被黑客入侵的重大风险。荷兰、法国、丹麦、芬兰等多国政府网站紧急下线。

PHP开发团队于周三发布紧急补丁，并呼吁所有用户"立即更新"。该漏洞在PHP代码库中潜伏逾十年，此次由美国网络安全公司借助谷歌和OpenAI旗下AI工具发现。

据互联网情报公司Censys的数据，在约260万个运行PHP的主机中，目前约有150万个使用的版本尚无可用补丁。PHP为全球约75%已知编程语言构成的网站提供底层支撑，WordPress、Drupal、Joomla和Magento均建立于这一技术之上，任何关键漏洞的连锁影响极为深远。

OpenAI周三表示，"鉴于这些漏洞的严重程度以及PHP的广泛应用，我们认为这是近期记忆中影响最深远的安全问题之一"，并强调"据我们所知，前沿AI在攻击者之前率先发现了这些漏洞"。

AI发现PHP漏洞，此前已存在逾十年

此次漏洞由AI工具率先发现，标志着网络安全攻防态势出现结构性转变。谷歌旗下网络安全公司Wiz在博客中披露，其自主AI漏洞研究工具Wiz Atlas结合谷歌Gemini 4 Argon及OpenAI的GPT-5.6 Sol发现了上述缺陷。

另一家网络安全公司Calif亦表示，其于8月1日借助大语言模型独立发现同一漏洞，此后持续参与修复工作。两家公司均称已相互协调，并与PHP团队及OpenAI共同跟进处置。

Wiz指出，上述漏洞在PHP代码库中隐匿逾十年，若依赖人工排查，其利用难度极高。"在AI出现之前，这一手工工作实施困难，更难以规模化推进，"Wiz表示，"有了AI，这一障碍已不复存在。"

网络安全研究与事件响应公司TLP:Black联合创始人Costin Raiu警告称，AI正在驱动一场"争先利用的竞赛"，下一步将是"互联网上所有存在漏洞的网络服务器遭到大规模攻陷"。

七成网站受威胁，技术资源匮乏者首当其冲

PHP诞生于1990年代初，最初代表"Personal Home Page"，如今已成为互联网公共端最重要的底层语言之一。根据网络技术追踪机构W3Techs的数据，PHP约为75%已知编程语言构成的网站提供运行支撑。

Drupal协会临时首席执行官Tiffany Farriss表示："所有使用过去20年间任何PHP版本的服务器都将面临漏洞风险，这一问题影响互联网的大多数站点。"

WordPress.com运营方Automattic已表示，其托管服务用户及Tumblr用户不受此次漏洞影响。

但风险集中指向规模较小的PHP驱动网站——尤其是由个人或机构运营、技术资源有限、依赖共享主机服务且无法直接管理底层服务器的站点。

伦敦国王学院访问高级研究员Lukasz Olejnik警告称，"规模巨大，加之AI的介入，攻击可能即刻发生。"

多国政府紧急响应，下线浪潮席卷欧洲

欧洲政府机构率先采取预防措施，多国网站相继下线。

荷兰国家网络安全中心（NCSC）自身网站亦关闭下线，并将此举定性为"预防措施"。鹿特丹港、政府门户网站Overheid.nl、荷兰足球协会KNVB、该国五大政党官网及多家医院网站均跟进暂停服务。荷兰首相表示正密切关注事态发展。

芬兰国家IT服务提供商Valtori宣布，政府公共网络服务已作为"预防措施"下线。法国内政部表示，已将旗下所有网站置于"预防性维护"状态。丹麦市政IT公司Kombit称已关闭多项服务，包括全国学校通讯平台。

网络百科全书维基百科称已下线数量未披露的系统，等待安全补丁完成部署；线上图书馆互联网档案馆（Internet Archive）亦表示曾短暂下线以处理该问题。

日本首相高市早苗在X平台发文，呼吁网站运营者"确认您的在线网站是否使用PHP，并准备好应用新补丁"。 风险提示及免责条款

市场有风险，投资需谨慎。本文不构成个人投资建议，也未考虑到个别用户特殊的投资目标、财务状况或需要。用户应考虑本文中的任何意见、观点或结论是否符合其特定状况。据此投资，责任自负。