OpenAI 模型发现影响约 70% 网站的 PHP 漏洞

网络安全cyberOpenAI模型如何暴露了互联网约70%网站中的一个漏洞作者：Doug JacobsonDoug Jacobson与The ConversationThe Conversation作者：Doug JacobsonDoug Jacobson与The ConversationThe Conversation2026年10月23日，美国东部时间下午4:36OpenAI首席执行官Sam Altman于2026年9月29日在加利福尼亚州旧金山Fort Mason举行的OpenAI开发者大会上发表主题演讲前，接受CNBC的Kate Rooney电视采访。Heather Diehl/Getty Images在Google上添加Fortune以获取类似内容。

2026年10月21日，世界各国政府和组织开始紧急修复其网站所运行软件中的一个漏洞，该漏洞可能让黑客获取数据并控制网站。这一漏洞存在于PHP中——PHP是支撑当今大部分网络的编程语言——美国国家安全局、网络安全机构和软件供应商就此发出了紧急警告。推荐视频

安全研究公司Calif的一名研究员于2026年8月利用OpenAI的一款先进人工智能模型发现了该漏洞。该公司通知了管理PHP的非营利组织。然而，在PHP组织发布软件补丁之前，漏洞消息已经泄露；据亚马逊云服务（AWS）官员称，黑客已开始“广泛”尝试利用该漏洞。

该漏洞的影响远不止于一家公司或一个平台，因为PHP是帮助运行数百万网站的关键软件。那么，PHP是什么？AI在发现该漏洞中发挥了什么作用？普通用户是否应该担心？

PHP：网络的基础

PHP是一种编程语言，为大多数网站提供动力。对于一个现代网站来说，要提供动态内容、视觉元素和可搜索功能，就必须有一个程序在Web服务器上运行并接收用户输入，无论是输入网址，还是点击链接和按钮。据估计，大约70%的网站运行在PHP上。

PHP在Web服务器上运行主要分为两部分：核心PHP系统——引擎和运行时库——以及各个PHP脚本，后者是实际实现网站的自定义程序。当你与网站交互时，PHP脚本会运行，接收用户输入，并生成你的Web浏览器所显示的输出。

漏洞

当前的安全问题直接存在于核心PHP系统及其使用的库中。当漏洞存在于如此深的层级时，就可能让对手利用该系统。在本例中，他们可以在托管网站的计算机上运行未经授权的命令，从而使攻击者能够访问数据并完全控制网站。

该漏洞并非某个网站代码中的错误。问题出在核心PHP系统中，使得每一个未打补丁的运行PHP的系统都处于 vulnerable 状态。由于网站对互联网上的任何人都可访问，对手可以借助自动化工具轻松找到基于PHP的网站。随后，他们可以运行利用该漏洞的漏洞利用程序。

这段漏洞利用代码名为PHP2Shell。这个名字源于该漏洞利用赋予攻击者“shell访问权限”，这是网络安全术语，指直接通过命令行控制运行网站的计算机。Shell访问绕过了网站界面，为对手提供了一个输入命令并访问网站所有数据的窗口。https://www.youtube.com/embed/K8EXJIDk-K4?wmode=transparent&start=0 PHP2Shell的工作原理。

AI：一把双刃剑

这一漏洞之所以特别引人关注，在于它的发现方式。该漏洞是通过一种被称为“协调披露”的流程公之于众的，即网络安全研究人员在公开之前先向PHP开发者报告该缺陷。

这一发现彰显了AI在网络安全领域的威力。几十年来，发现细微的软件缺陷需要由大批专家手动审查代码。而如今的AI系统能够在数小时或数天内检查庞大的代码库并识别出异常模式。这些模型可以在几秒钟内分析数百万行代码，找出人类审计人员在数十年的软件开发过程中可能遗漏的细微内存管理缺陷。该PHP漏洞在PHP核心代码中已存在十多年，而AI帮助研究人员找到了它。

然而，这也表明攻击者可以使用同样的工具来定位并利用漏洞。那些帮助安全研究人员率先发现缺陷的推理能力，同样可以让攻击者快速扫描网络以寻找易受攻击的目标，并自动化地创建利用这些漏洞的工具。

这说明了为什么安全团队利用AI来发现漏洞并安全、主动地报告漏洞如此至关重要。AI还可以帮助发布缓解这些漏洞的补丁。

你应该担心吗？

许多政府机构、大学、医院和企业依赖基于PHP的系统。虽然普通互联网用户不太可能受到直接影响，但延迟打补丁的组织可能会泄露敏感数据、面临运营中断的风险，或让攻击者获得进入更大网络的立足点。

PHP完全在远程Web服务器上运行。如果你是访问网站的普通互联网用户，则无需下载补丁或修复你的个人电脑。

然而，如果你管理着一个网站、博客或服务器，哪怕是一个基于WordPress等流行内容管理系统搭建的小型站点，你也应立即检查服务器管理面板或网络托管商，确保你的PHP软件已更新到最新的修补版本。如果由第三方托管你的网站，请向他们确认是否已针对这些漏洞打上补丁。

PHP2Shell的发现揭示了网络安全的新现实。在我们这个互联互通的世界里，保持Web基础设施的安全是一场持续的竞赛。随着AI工具成为网络防御者和网络攻击者的标配，保持快速打补丁的习惯仍是我们最重要的防线。

本文经知识共享许可协议从The Conversation转载。阅读原文。

《财富日报》打破了受众与新闻编辑部之间的传统壁垒。该节目将《财富》值得信赖的报道转化为可操作、对话式且富有娱乐性的洞见，服务于新兴的商业领袖群体。在此观看。关于作者作者：Doug Jacobson查看完整简介作者：The Conversation查看完整简介在Google上添加《财富》以获取类似内容。

最受欢迎