互联网基础设施的脆弱性：PHP 漏洞危机与 AI 在安全发现中的角色
过去几十年间，全球互联网的基础架构在很大程度上依赖于一种被戏称为“胶带、绳索和口香糖”粘合起来的软件生态。近期，这种依赖关系因 PHP 核心中发现的重大内存安全漏洞而面临严峻考验。这一事件不仅揭示了遗留代码库的深层风险，也标志着人工智能在网络安全漏洞挖掘领域的应用进入了一个新阶段。
PHPocalypse：影响范围与技术细节
此次危机被称为“PHPocalypse”，源于两个相关的内存安全漏洞，统称为 PHP2Shell。据 The Register 播客节目主持人 Brandon Vigliarolo、网络安全编辑 Jessica Lyons 及开源记者 Liam Proven 讨论，这两个漏洞影响了过去十年中发布的每一个 PHP 版本。鉴于约 70% 的网站运行在 PHP 之上，这意味着互联网的大部分基础设施均处于潜在威胁之下。
Jessica Lyons 指出，这些漏洞允许攻击者操纵 PHP 信任的内存结构，进而劫持后续执行流程。其后果可能包括远程代码执行、网站接管、数据窃取，甚至向访问者计算机分发恶意软件。尽管部分大型平台如《最终幻想 XIV》曾因此暂时关闭登录服务器以进行紧急维护，但截至周五，根据 PHP 基金会及安全专家的说法，尚未观察到成功的攻击案例。然而，亚马逊网络服务（AWS）披露称，在周三补丁发布前四天已监测到利用尝试。
修复工作面临巨大挑战。针对当前版本的补丁包含多达 13,000 行 C 语言代码，且需覆盖所有受影响的旧版本。由于许多遗留系统缺乏直接的更新路径，管理员往往只能选择停机重装。Liam Proven 推测，随着时间推移，可能会有更多类似漏洞被发现，因为该代码库的设计复杂且历史悠久，如同 Linux 内核一样，没有任何人能完全掌握其所有运作细节。
AI 驱动的安全发现：从 OpenBSD 到 PHP
此次漏洞的发现过程凸显了人工智能在安全领域的关键作用。OpenAI 合作伙伴 Calif 以及 Google 旗下的 Wiz 独立发现了这些漏洞。Calif 是一家专注于 AI 渗透测试的新兴初创公司，他们使用 OpenAI 模型协助定位了这些人类研究人员可能在数十年内都无法发现的缺陷。
Liam Proven 提到，Calif 此前还曾在 OpenBSD 系统中发现了一个名为“Big Fish”的漏洞，该漏洞存在时间长达 37 年，甚至在 OpenBSD 成立之前就已存在于 Berkeley Software Distribution Unix 中。这表明 AI 工具在处理古老且复杂的代码库时具有独特优势，能够识别出传统人工审计容易忽略的模式。
尽管公众对“AI 末日”感到恐慌，但实际情况更为复杂。Brandon Vigliarolo 指出，虽然 AI 加速了漏洞的发现，但这并不意味着互联网立即陷入火海。目前的威胁主要来自于潜在的恶意行为者和渗透测试人员，而非已经大规模爆发的攻击。然而，随着 AI 能力的提升，未来几年内关于政府、地方政府及小型企业网站的违规披露可能会陆续出现，因为这些实体的 IT 资源有限，难以及时应对如此庞大的修补需求。
PHP 的历史包袱与现代依赖
PHP 之所以在互联网上无处不在，与其历史发展密切相关。Rasmus Lerdorf 最初创建 PHP 是为了简化个人主页的管理，后来演变为递归缩写“PHP: Hypertext Preprocessor”。其早期设计将程序代码与标记语言混合，这种做法在现代开发模式中已被视为不良实践。语法不一致、函数行为怪异以及默认缺乏堆栈跟踪等问题，使得 PHP 长期受到批评。
然而，Facebook 等巨头数十年来持续投入资源优化 PHP，使其变得更快速、可靠和可扩展，甚至为其构建了专用编译器。此外，WordPress 等主流内容管理系统（CMS）也深度依赖 PHP，进一步巩固了其市场地位。Liam Proven 回忆道，他的一位资深 Linux 技术人员朋友拒绝在任何服务器上安装基于 PHP 的 CMS，理由是出于安全考量，坚持使用非容器化、非 Docker 且不含 PHP 的技术栈。
目前，PHP 基金会已确认存在第三个相关漏洞，虽不需要紧急发布补丁，但将在下一个常规发布周期中解决。基金会表示，该漏洞需要极不可能的配置组合与应用代码才能触发，因此在实际使用中预期不会造成广泛影响。尽管如此，这一系列事件提醒业界，互联网底层基础设施的脆弱性依然显著，而对遗留代码的依赖和对新技术（如 AI 辅助安全）的适应，将是未来网络安全治理的核心议题。
