AI 挖出隐藏十几年的高危漏洞，互联网要不太平了

一觉醒来，互联网世界好像突然要面临 " 天外来敌 " 的局面。10 月 20 日凌晨，海外知名开发者社区 Hacker News 突然曝光了两个 CVSS 评分为 10.0 的 PHP 远程代码执行漏洞，并且发帖人煞有介事地表示，" 消息来源：信我，就行 "，还警告在生产环境中使用 PHP 语言的开发者做好准备。

作为一套开源、行业通用的漏洞风险量化标准，通用漏洞评分系统（CVSS）是由 NIST（美国国家标准与技术研究院）主导维护，核心目标是通过标准化的指标体系，客观评估漏洞的严重程度，以帮助安全人员、开发者、运维人员统一风险认知，优先处理高风险漏洞。在 CVSS 的评分体系里，10.0 是最高分，属于最高严重级别。

虽然 Hacker News 从来不缺发布 " 末日预言 " 的谜语人，但这次不一样，它居然是真的。随后，美国国家安全局（NSA）、英国国家网络安全中心（NCSC）等机构，以及奇安信等网络安全厂商相继发出警告，称 PHP 中确实发现了两个关键漏洞，要求相关组织尽快采取防护措施，如果网站无法立即修复，则应将其下线，直至修复完成。

此外，PHP 官方也紧急宣布，原定 10 月 22 日的安全更新被迫提前到 10 月 21 日晚 10 点，从而压缩漏洞处于 " 裸奔状态 " 的时间。然而或许是忙中出错，一家参与发现这两个漏洞的安全公司，居然不小心将利用这些漏洞的攻击演示视频发到了网上。这下可好，黑客们原本只知道有漏洞，还不知道如何利用漏洞，结果有人 " 雪中送炭 " 了。

这两个漏洞的威力很好形容，攻击者甚至不用获取管理员权限，只需向网站服务器发送几个特殊的请求，就可以在服务器上执行自己的代码。如此一来，在这十几个小时里全球互联网乱了套，数不清的网站被迫停服，通过 " 居家隔离 " 的方式避免被黑客盯上。

那么问题来了，为什么 PHP 有漏洞，整个互联网都会风声鹤唳呢？这是因为 PHP 在互联网、特别是 Web 端的应用，实在太过广泛。在码农圈有一个经典笑话，那就是如何让一个开发者论坛的人吵起来？答案很简单，只需要说一句 "PHP 是世界上最好的语言。 "

PHP 官方自夸它是 " 世界上最好的语言 " 也不是毫无根据，易于学习和部署的特性，就使得大量开发者能够快速上手进行 Web 开发，建起网站和应用。WordPress 等内容管理平台的流行，也为 PHP 提供了广阔的应用场景，Zend 等开发框架以及 Discuz! 论坛等应用方案的出现，则进一步丰富了 PHP 的生态。

过去十余年间，PHP 成为 Web 开发中的首选语言，大量网站和应用都是基于 PHP 开发，它为全球约 75% 已知编程语言构成的网站提供了底层支撑。有趣的是，这两个影响 PHP 安全的漏洞已经存在了超过十年，其实是 AI 将其挖掘出来的。

谷歌旗下网络安全公司 Wiz 在博客中披露，其自主 AI 漏洞研究工具 Wiz Atlas 结合谷歌 Gemini 4 Argon 及 OpenAI 的 GPT-5.6 Sol，发现了上述漏洞。Wiz 方面指出，这些漏洞在 PHP 代码库中隐匿了逾十年，如果依赖人工排查，其利用难度极高，在 AI 出现之前，这一手工工作实施困难，更难以规模化推进。

从某种意义上来说，经此一役，网络安全行业将会被 AI 彻底改写。

以往，网络安全攻防属于 " 乡村械斗 "，烈度其实很低，可 AI 的出现，就让网络安全变成了 " 现代战争 "。要知道，黑客也是人，他们的精力有限，即便有各种自动化工具帮忙，想要挖掘出一个有攻击价值的漏洞，也需要以周为单位的时间。

而且成为黑客也有门槛，所以整个互联网世界看起来才相对祥和。但 AI 就不一样，它让网络攻击也变得 " 技术普惠 " 了。比如说，从 9 月底到 10 月初，韩国至少有 7 家金融机构遭到网络攻击，超过 6.8 万名客户的个人信息被泄露，而发起这一攻击的人只是个 " 脚本小子 "，ta 利用 DeepSeek V4.1-Flash、GLM-5.3、Grok 4.6 拼成了一条隐蔽的攻击流水线。

之所以说这位黑客是蹩脚的 " 脚本小子 "，盖因网络安全公司 CrowdStrike 在事后调查中发现，这位黑客控制的服务器竟然可以被外部访问，ta 如何向智能体分发任务，乃至询问 " 韩国泄露的数据通常在哪里出售 "，都以未加密的状态存储在服务器上，从而让网络安全研究人员精准定位了 ta 的身份信息。

AI 带来的效率倍增和技术普惠，不仅仅会让 " 脚本小子 " 受益，资深黑客更是如虎添翼。接下来，互联网世界可能就要不太平了。

【本文图片来自网络】