PHP是支撑约70%网站的编程语言，其两个严重漏洞本周引发全球紧急修补，此前研究人员证明这些漏洞可让攻击者无需密码即可控制服务器。
这些漏洞是使用OpenAI模型、与安全公司Wiz和Calif合作发现的。该团队将这组漏洞戏称为PHP2Shell。其中一个漏洞已在该语言中存在了14年。
该漏洞允许什么
攻击者无需身份验证即可接管受影响的网络服务器，并读取可能存有密码和会话数据的内存。由于PHP支撑着WordPress、Drupal以及一长串定制网站，其暴露范围波及医院、零售商和政府门户，而不仅是科技公司。
Wiz将其严重程度比作2014年暴露了网络大部分数据的加密漏洞"心脏出血"。研究人员表示，该漏洞难度足够高，处于人类分析师所能利用的边缘，而对能够自行执行攻击步骤的AI智能体来说则很容易。
谁要求各机构采取行动
美国国家安全局和欧盟网络安全机构建议立即修补。两者都表示，无法快速更新的系统应下线。一些欧洲政府网站正是这样做的，其部分公共服务停摆了一天。
Cloudflare首席技术官戴恩·克内希特表示，公司在补丁公开前就看到了早期的攻击尝试。OpenAI发布了一款工具，管理员可运行它来检查某个安装是否暴露。
披露为何仓促
细节本周在网上泄露，迫使PHP的维护者比原计划更早发布公告和更新。这缩短了警告与利用之间的时间差，而这一时间差正是防御者最依赖的。
这一事件具有两面性。AI发现了一个多年人工审查都未能发现的漏洞，而同样的能力也能帮助攻击者更快地编写漏洞利用程序。安全团队现在面临一个简单的考验：修补，或者断开。