2026年10月21日，世界各地政府和机构开始紧急修复自家网站所用软件中的一个安全漏洞。这个漏洞可能让黑客获取数据，甚至控制网站。漏洞出现在PHP中。PHP是支撑当今大量网站运行的编程语言。美国国家安全局（U.S. National Security Agency）、多家网络安全机构和软件供应商随即针对这一漏洞发出紧急警告。
2026年9月29日，OpenAI开发者大会于加利福尼亚州旧金山梅森堡举行。OpenAI首席执行官萨姆·奥尔特曼在发表主题演讲前，接受了CNBC记者凯特·鲁尼的电视采访。图片来源：Heather Diehl/Getty Images
今年8月，安全研究公司Calif的一名研究人员利用OpenAI的一款先进AI模型发现了这一漏洞。随后，该公司通知了负责管理PHP的非营利组织。但漏洞消息在PHP组织正式发布补丁前就已泄露。亚马逊云科技（AWS）高管表示，黑客此后开始“大范围”尝试利用这一漏洞发动攻击。
这个漏洞的影响远超一家企业或一个平台，因为PHP是支撑数百万个网站运行的关键软件之一。那么，PHP究竟是什么？AI在发现这个漏洞的过程中发挥了什么作用？普通用户又是否需要担心？
PHP是一种支撑大多数网站运行的编程语言。现代网站要提供动态内容、视觉元素和搜索功能，就必须在Web服务器上运行程序，并接收用户输入。用户可能输入一个网址，也可能点击链接或按钮。据估算，约70%的网站都基于PHP运行。
PHP在Web服务器上运行时，主要分为两部分：一部分是PHP核心系统，包括引擎和运行时库；另一部分则是各个PHP脚本，也就是真正承载网站功能的定制程序。用户与网站交互时，PHP脚本就会运行，接收用户输入，再生成浏览器最终显示的内容。
眼下的安全问题，恰恰出在PHP核心系统及其配套的程序库上。漏洞出现在这么底层的位置，攻击者便可能借此入侵系统。在这种情况下，攻击者能在托管网站的计算机上执行未获授权的命令，进而读取数据，并完全控制网站。
该漏洞并非某个网站自身代码中的错误。问题出在PHP核心系统上，因此凡是运行PHP且尚未安装补丁的系统，都存在安全风险。由于网站对互联网上的所有人开放，攻击者用自动化工具就能轻松找到基于PHP搭建的网站，接着运行漏洞利用程序，对这一缺陷发起攻击。
这段漏洞利用代码名为PHP2Shell。这个名字源于它能够让攻击者获得“命令行访问权限”。在网络安全领域，这指的是直接用命令行控制运行网站的计算机。有了这种权限，攻击者便能绕过网站界面，等于多开了一条通道。
这个漏洞之所以格外引人关注，还在于它被发现的方式。这一漏洞通过一种名为“协调披露”的流程被曝光：网络安全研究人员先把漏洞通报给PHP开发者，然后再对外公开。
此次发现凸显了AI在网络安全领域的强大能力。数十年来，要找出隐蔽的软件漏洞，往往得靠大型专家团队人工逐行审查代码。如今，AI系统能在几小时或几天内通读海量代码，识别出异常模式。这些模型能够在几秒钟内分析数百万行代码，发现细微的内存管理漏洞——而这类缺陷，单靠人工审查，即便在数十年软件开发历程中，也极有可能被遗漏。该漏洞已经在PHP核心代码里潜伏了十多年，最终是AI帮助研究人员把它找了出来。
不过，这也说明，攻击者同样能利用这些工具搜寻并利用漏洞。同一套推理能力，既能帮助安全研究人员抢先发现缺陷，也能被攻击者利用，借此快速扫描互联网，锁定存在漏洞的目标，再自动生成攻击工具。
由此可见，安全团队主动用AI发现漏洞，再以稳妥方式对外通报，至关重要。AI还能帮助推出补丁，缓解这些漏洞带来的风险。
许多政府机构、高校、医院和企业都依赖基于PHP构建的系统。普通网民直接受影响的可能性不大。但机构若迟迟不安装补丁，就可能泄露敏感数据、扰乱业务运营，甚至让攻击者以此为跳板，渗透进更大的网络。
PHP完全运行在远程Web服务器上。对只是日常浏览网页的普通网民来说，既不用下载补丁，也不必修补自己的电脑。
不过，凡是网站、博客或服务器的管理者，哪怕只是用WordPress等常见内容管理系统搭建了小型网站，都应立即检查服务器管理面板，或联系网站托管服务商，确认PHP软件已更新到打过补丁的最新版本。如果网站交由第三方托管，还应向对方确认，是否已修补这些漏洞。
PHP2Shell的发现揭示了网络安全的新现实。在这个高度互联的世界里，保障Web基础设施安全是一场持续不断的竞赛。随着AI工具逐渐成为网络防御方和在线攻击者共同的标配，保持快速、及时安装补丁的习惯，仍是我们最重要的防线。（财富中文网）
作者：Doug Jacobson，The Conversation
本文作者道格·雅各布森，现任爱荷华州立大学（Iowa State University）电气与计算机工程学教授。
本文经The Conversation授权，依据知识共享许可协议转载。
《财富》最新榜单
