- 发布日期
OpenAI揪出PHP致命漏洞 全球70%网站深夜爆雷
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
10月21日，荷兰国家网络安全中心（NCSC）为规避风险关闭官网，荷兰司法系统部分招聘、培训网站及庭审信息文件信箱也暂停服务。日本财务省同日停用官网部分内容和服务，紧急检查服务器并安装修复。引发这轮避险行动的是PHP引擎两个高危漏洞，合称PHP2Shell，CVSS评分均达9.2分。
PHP是大量网站的后台语言。W3Techs统计，在能识别服务端语言的网站中，69.3%使用PHP。漏洞最危险后果是远程代码执行（RCE）：在受影响部署中，攻击者可能无需登录，就让服务器执行其指定代码。
漏洞由AI辅助发现。7月30日，Calif研究者Ryan Austin参与OpenAI“Patch the Planet”计划，开始审计PHP；8月1日即找出多条远程攻击路径。Ryan让GPT-5.6 Sol从2004年PHP内存限制问题切入，发现内存耗尽（OOM）时计数与写入顺序存在危险缺陷。Wiz也独立发现两个漏洞，研究员Sagi Tzadik称“AI干了这里的大部分工作”。
修复由PHP维护者主导、OpenAI协调，秘密进行约两个月。PHP基金会称团队连周末都在昼夜协调，补丁需多版本测试并供发行商打包。修补后的PHP设置软、硬两道内存上限，并调整中止工作时机，以阻止半成品数据被当作有效记录使用。
各方原定10月22日晚10点统一发布。但10月20日晚，漏洞编号提前流传；21日凌晨PHP团队将发布提前24小时，随后攻击演示视频和含修复的构建镜像接连泄露。Cloudflare首席技术官Dane Knecht在21日下午发帖称，已看到早期真实攻击。
21日晚，PHP 8.5.12、8.4.27、8.3.36和8.2.35发布，PHP团队还为7.4、8.0和8.1准备最小源码修补。Cloudflare已为Web应用防火墙免费和付费客户部署临时保护，但强调补丁出来仍须安装。网站运营者需要升级PHP，临时防护不能替代补丁。
22日，OpenAI又发布Codex检查skill，帮助运营者判断PHP版本是否可能受影响，但不能替代升级。OpenAI同时预告，PHP只是已发现、正在修复的多项重大漏洞之一，未来几个月此类发现预计还会显著增加。
