原标题：PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
OpenAI 的 Patch the Planet 项目和 Google 旗下 Wiz 团队分别用 AI（GPT-5.6 Sol、Wiz Atlas、Gemini 4 Argon）发现了 PHP 自 2004 年版本 5 起就存在的两个严重漏洞，PHP Foundation 已发布补丁。PHP 驱动约 70% 的网站，NSA 警告无法立即修补的网站应暂时下线；此前无在野利用报告，但漏洞披露后，数千万网站需在黑客利用前尽快升级到 PHP 8.5.12。
原文梳理了 AI 如何同时发现并放大 PHP 老漏洞的风险，对理解开源软件安全格局的变化有参考价值。
本页的摘要、推荐理由与解读出自 AIsa Studio 的 AI 风向智能体，原文版权归原作者所有。
美国国家安全局（NSA）周三发出警告：PHP 中发现两个严重漏洞，PHP 基金会已发布补丁。NSA 提示，如果网站无法立即修补，应暂时从互联网上撤下，直到完成修复。
这两个漏洞的发现方是 OpenAI 和 Google 旗下 Wiz 团队，两者都借助 AI 找到了这些隐藏多年的缺陷。
OpenAI 表示，这些漏洞是研究人员在黑客发现之前找到的，目前没有在野利用的报告。部分原因在于，在 AI 出现之前，这些漏洞对黑客来说太难利用。「LLMs can help adapt an exploit to different PHP versions, configurations and memory layouts」，Wiz 在博客中如此警告——AI 消除了这一门槛。
换言之，这正是一个因 AI 而被发现和预防、却也因 AI 才构成高风险的安全问题。漏洞现已公开，黑客完全知情，互联网需要赶在黑客攻击之前为数千万网站打上补丁，这正是 NSA 建议无法立即修补的站点暂时下线的原因。
美国国家安全局（NSA）于周三发出一份令人担忧的警告，指出在 PHP 中发现了两个关键漏洞，PHP 基金会已发布补丁。
PHP 是一种服务器端编程语言，广泛用于 Web 应用程序，它支撑着互联网上约 70% 的网站；据一些统计，这相当于超过 3300 万个网站。它还由 WordPress 等流行的内容管理系统使用。
NSA 警告称，这些漏洞非常严重，如果网站无法立即打补丁，应将其从网络上撤下，直到可以修补为止。这些漏洞允许攻击者渗透服务器的文件系统或 Web 应用可能使用的数据库。
有趣的是，自 2004 年发布的版本 5 以来，所有版本的 PHP 中都隐藏着这些漏洞。未运行相对较新 PHP 版本的网站需要进行一些更新工作，因为 PHP 8.1 及更早版本已不再受支持。建议将 Web 服务器更新到当前版本的 PHP，即 8.5.12。
那么，这两个影响互联网上几乎每个网站的普遍且存在数十年的缺陷是如何突然被发现的？当然是人工智能，特别是通过 OpenAI 和 Google 的 Wiz。
安全测试公司 Calif 参与了 OpenAI 的“Patch the Planet”计划，旨在发现开源软件中的缺陷。使用 GPT‑5.6 Sol，它发现了其中一个缺陷，OpenAI 在一篇博客文章中披露了这一点。与此同时，Wiz 团队也使用了人工智能，即其 Wiz Atlas 安全 AI 代理 Gemini 4 Argon 和 GPT‑5.6 Sol，来发现 PHP 中的多个漏洞。
OpenAI 和 Wiz 都遵循负责任的安全研究实践，并在公开披露漏洞之前与 PHP 合作进行补丁开发。随后，他们共同努力完善所发现的问题并测试补丁，还吸引了许多其他方协助。
Wiz 感谢 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel。（虽然 WordPress 网站使用 PHP，但 WordPress 已发表声明称，该缺陷并非 WordPress 特有，运行其 CMS 的网站必须修补其服务器并与网络托管公司合作以确保网站受到保护。）
OpenAI 表示，这些缺陷是在黑客发现它们之前由研究人员找到的。因此，没有关于野外利用报告的记录。部分原因是，在人工智能出现之前，这些缺陷对黑客来说太难利用了。“有了人工智能，这不再是障碍。LLM 可以帮助将利用代码适应不同的 PHP 版本、配置和内存布局，”Wiz 在其博客中关于这些缺陷时警告道。
换句话说，这是因人工智能而发现和预防的安全问题，但也正因为人工智能才成为高风险问题。
既然问题已经披露，黑客已经完全知情。现在是一场竞赛，要在黑客攻击未修补的网站之前，让互联网修补数千万个网站。因此 NSA 的指导是，如果你不能立即修补你的 PHP 网站，最好将其下线，直到你可以修补为止。
当您通过我们文章中的链接购买时，我们可能会获得少量佣金。这不会影响我们的编辑独立性。
Julie Bort 是 TechCrunch 的初创企业/风险投资栏编辑。
您可以通过发送电子邮件至 [email protected] 或在 X 上通过 @Julie188 联系或验证来自 Julie 的外联活动。
The U.S. National Security Agency’s sent out an alarming warning on Wednesday that two critical holes had been found in PHP, with patches already issued by the PHP Foundation.
PHP is a server-side programming language so widely used for web applications that it powers roughly 70% of the websites on the internet; by some accounts, that’s more than 33 million sites. It is also used by popular content management systems like WordPress.
The NSA warned that these holes are so severe that if a website can’t be patched immediately, it should be pulled off the web until it can be. The holes allow attackers to infiltrate the server’s file system or a database that may be used by the web app.
Interestingly, these holes have been tucked away in all versions of PHP since version 5, which was released in 2004. Websites not running relatively current versions of PHP will have some updating work to do, as PHP 8.1 and older versions are no longer supported. The recommendation is to update the web server to the current version of PHP, which is 8.5.12.
So how did two such ubiquitous, decades-old flaws that affect nearly every website on the internet suddenly come to light? AI, naturally, particularly via OpenAI and Google’s Wiz.
Security testing company Calif was engaged in OpenAI’s “Patch the Planet” initiative to find flaws in open source software. Using GPT‑5.6 Sol, it found one of the flaws, OpenAI disclosed in a blog post. Separately, the Wiz team also used AI, namely its Wiz Atlas security AI agent, Gemini 4 Argon, and GPT-5.6 Sol to find multiple vulnerabilities in PHP.
Both OpenAI and Wiz followed responsible security research practices and worked with PHP on patches before publicly disclosing the flaws. Then they all worked together to flesh out what they found, and test the patches, drawing in a host of others to help.
Wiz thanked Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, and Vercel. (While WordPress sites use PHP, WordPress has issued a statement saying that the flaw isn’t WordPress specific, and sites running its CMS must patch their servers and work with their web-hosting companies to ensure their sites are protected.)
OpenAI says that these flaws were found by researchers before hackers discovered them. So there were no reports of exploits in the wild. This is also in part because, before AI, these flaws were too hard for hackers to exploit. “With AI this is no longer a barrier. LLMs can help adapt an exploit to different PHP versions, configurations and memory layouts,” Wiz warned in its blog about the flaws.
In other words, this is the kind of security issue that was found and prevented because of AI, but is also a high risk only because of AI.
Now that the issue has been disclosed, hackers are fully in the know. The race is on for the internet to patch tens millions of websites before hackers can attack the unpatched ones. Hence the NSA’s guidance that if you can’t patch your PHP website right away, you’re better off pulling it offline until you can.
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.
Julie Bort is the Startups/Venture Desk editor for TechCrunch.
You can contact or verify outreach from Julie by emailing [email protected] or via @Julie188 on X.
原文版权归 TechCrunch · AI 及原作者所有，本站转载仅供阅读。如需删除，请联系 support@aisa.one。
2026 年 10 月 21 日，OpenAI 与 Google 旗下 Wiz 分别披露其 AI 模型发现 PHP 的严重安全漏洞。OpenAI 称其 GPT-5.6 Sol 在 Patch the Planet 项目中协助发现漏洞；Wiz Research 则称其用自家平台结合 Gemini 4 Argon 与 GPT-5.6 Sol 独立发现同一漏洞，命名为 PHP2Shell，为未认证远程代码执行漏洞，自 PHP 2004 年 5 版本起即存在，CVSS 评分 9.2，影响约 70% 的网站（TechCrunch 称为数千万网站，The Decoder 称数百万网站）。漏洞由 Wiz 于 8 月发现，曾确认对 Drupal 和 WordPress 的未认证 RCE，经约两个月、分五阶段的协调修复，涉及 PHP 开发者、Cloudflare、CISA 和白宫。因 CVE 信息提前泄露，PHP 项目将原定 10 月 22 日的发布提前至 10 月 21 日 14:00 UTC，PHP 全 8.x 系列已发布更新，TechCrunch 称升级版本为 PHP 8.5.12；此前无在野利用报告，但披露后利用代码已在流传，NSA 建议无法立即修补的网站暂时下线。OpenAI 同日发布 Codex 技能，并于 10 月 22 日在 GitHub 开源 php2shell-checker 工具，用于检测服务器 PHP 版本是否受影响，该工具返回 OK、VULNERABLE 或 UNKNOWN 三种结果，强调 OK 仅基于版本比较，UNKNOWN 不代表已修复。
Studio