OpenAI與Wiz藉助AI發現PHP兩項嚴重漏洞，NSA建議未能即時修補的網站下線
PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
OpenAI與Wiz藉助AI發現PHP兩項嚴重漏洞，PHP Foundation已發佈修補程式。漏洞存在於PHP 5以來的各版本；NSA建議未能即時修補的網站暫時下線，PHP 8.1及更舊版本已停止支援，建議升級至PHP 8.5.12。OpenAI稱研究人員在黑客之前發現漏洞，因此沒有已知的在野利用報告；Wiz警告，LLM可協助攻擊者按PHP版本、設定及記憶體配置調整漏洞利用方式。
這宗漏洞事件呈現 AI 安全研究的雙重影響，工具協助研究人員發現長期存在的漏洞，也可能降低攻擊者調整漏洞利用方式的門檻。
美國國家安全局週三發出令人警惕的警告，指出 PHP 發現兩個嚴重漏洞，而修補程式已由 PHP Foundation 發布。
PHP 是一種伺服器端程式語言，在網絡應用程式中廣泛使用，為互聯網上約 70% 的網站提供動力；據部分統計，數字更超過 3,300 萬個網站。它亦用於 WordPress 等熱門內容管理系統。
NSA 警告，這些漏洞非常嚴重，如果網站無法立即安裝修補程式，便應先將網站下線，直至完成修補。攻擊者可利用這些漏洞入侵伺服器的檔案系統，或網絡應用程式可能使用的資料庫。
值得注意的是，這些漏洞潛藏於 PHP 5 版及其後的所有版本中；PHP 5 於 2004 年發布。未有使用較新 PHP 版本的網站需要進行更新，因為 PHP 8.1 及更舊版本已不再獲得支援。建議將網頁伺服器更新至目前版本的 PHP，即 8.5.12。
那麼，這兩個影響互聯網上幾乎所有網站、普遍存在數十年的漏洞，為何會突然曝光？答案自然是 AI，尤其是透過 OpenAI 和 Google 的 Wiz。
安全測試公司 Calif 參與了 OpenAI 的「Patch the Planet」計劃，協助找出開源軟件中的漏洞。OpenAI 在一篇網誌文章中披露，Calif 使用 GPT‑5.6 Sol 找到其中一個漏洞。另一方面，Wiz 團隊也使用 AI 找出 PHP 的多個漏洞，包括其 Wiz Atlas 網絡安全 AI 代理、Gemini 4 Argon 和 GPT-5.6 Sol。
OpenAI 和 Wiz 均遵循負責任的安全研究做法，並在公開披露漏洞前與 PHP 合作制定修補程式。隨後，各方共同深入釐清發現的問題並測試修補程式，也邀請了許多其他人士協助。
Wiz 向 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel 致謝。（雖然 WordPress 網站使用 PHP，WordPress 已發表聲明指出，該漏洞並非 WordPress 專屬；使用其 CMS 的網站必須為伺服器安裝修補程式，並與網頁寄存公司合作，確保網站受到保護。）
OpenAI 表示，研究人員在黑客發現這些漏洞前已先行找到，因此沒有漏洞遭實際利用的報告。部分原因亦在於，在 AI 出現之前，黑客難以利用這些漏洞。Wiz 在其網誌中發出警告，指出這些漏洞：「有了 AI，這已不再是障礙。大型語言模型可協助將漏洞利用攻擊調整至不同 PHP 版本、設定和記憶體配置。」
換言之，這類安全問題因 AI 而被發現並得以防止，但同時也只因 AI 才會構成高風險。
漏洞公開後，黑客已完全掌握相關資訊。互聯網各方正爭分奪秒，為數千萬個網站安裝修補程式，趕在黑客攻擊尚未修補的網站之前。因此，NSA 建議，如果無法立即為 PHP 網站安裝修補程式，最好先將網站下線，直至能完成修補為止。
當你透過我們文章中的連結購買產品時，我們可能會獲得少量佣金。這不會影響我們的編輯獨立性。
Julie Bort 是 TechCrunch 初創企業／創投組的編輯。
如要聯絡 Julie 或核實是否收到由她發出的聯絡訊息，可電郵至 [email protected]，或透過 X 上的 @Julie188 聯絡她。
來源：TechCrunch · AI · techcrunch.com