AI发现PHP十年老漏洞：全球75%网站受威胁，多国政府网站紧急下线，150万主机尚无补丁

全球互联网正经历AI时代的第一次"基础设施级"安全危机：美国国家安全局（NSA）周三发出紧急警告，研究人员借助AI工具在PHP编程语言中发现两处严重安全漏洞——这个支撑全球约75%网站底层运行的代码库中，缺陷已潜伏超过十年；荷兰、法国、丹麦、芬兰等多国政府网站紧急下线，PHP开发团队发布紧急补丁并呼吁所有用户"立即更新"^[1]。

事件全景：AI先于攻击者找到漏洞

事件的时间线本身就是历史性的一页。谷歌旗下网络安全公司Wiz在博客中披露，其自主AI漏洞研究工具Wiz Atlas结合谷歌Gemini 4 Argon与OpenAI的GPT-5.6 Sol发现了上述缺陷；另一家网络安全公司Calif表示其于8月1日借助大语言模型独立发现同一漏洞，此后持续参与修复，两家公司与PHP团队及OpenAI协调处置^[1]。Wiz指出，这些漏洞在PHP代码库中隐匿逾十年，若依赖人工排查，发现与利用的难度都极高——"在AI出现之前，这一手工工作实施困难，更难以规模化推进；有了AI，这一障碍已不复存在"^[1]。OpenAI的表态把严重性拉到顶格："鉴于这些漏洞的严重程度以及PHP的广泛应用，我们认为这是近期记忆中影响最深远的安全问题之一"，并强调"据我们所知，前沿AI在攻击者之前率先发现了这些漏洞"^[1]。

风险量化：260万主机，150万尚无补丁

数字勾勒出攻击面的规模。据互联网情报公司Censys的数据，在约260万个运行PHP的主机中，目前约150万个使用的版本尚无可用补丁；PHP为全球约75%已知编程语言构成的网站提供底层支撑，WordPress、Drupal、Joomla和Magento都建立在它之上——Drupal协会临时CEO Tiffany Farriss的判断是："所有使用过去20年间任何PHP版本的服务器都将面临漏洞风险，这一问题影响互联网的大多数站点。"^[1]更紧迫的是补丁发布后的"逆向工程竞赛"：由于补丁已公开，专家警告黑客可利用AI轻易对漏洞进行逆向工程，大规模入侵浪潮或一触即发——网络安全公司TLP:Black联合创始人Costin Raiu称之为"争先利用的竞赛"，下一步将是"互联网上所有存在漏洞的网络服务器遭到大规模攻陷"^[1]。业界以"PHP末日"（PHP Armageddon）形容此次事件，恐慌情绪本身也成了传播面的一部分^[2]。风险分布高度不均：WordPress.com运营方Automattic表示其托管用户及Tumblr用户不受影响，真正的软肋是技术资源匮乏的小型PHP网站——长尾站点普遍缺乏安全运维能力，恰是僵尸网络最喜欢的猎物^[1]。

结构性转变：攻防两端都被AI加速

这次事件的深层意义在于网络安全攻防态势的结构性转变。防御侧，AI把"大海捞针"式的代码审计变成了可规模化的流水线——十年未被人工发现的缺陷被AI率先定位，这是"AI for Security"迄今最具说服力的实战证明；但同一枚硬币的反面是，攻击侧同样获得了规模化能力：补丁逆向、漏洞利用生成、攻击链组装，每个环节都在被AI加速。换句话说，AI没有让世界更安全或更危险，它把攻防双方的时钟同时拨快了——而攻守天然不对等：防御者要补260万个主机，攻击者只需找到一个未补的。对网站运营者，行动清单很短但很硬：立即升级PHP到最新补丁版本；用不了补丁的旧系统，考虑在网关层做虚拟补丁；托管在大型平台上的用户确认平台公告；所有PHP应用的依赖与插件同步检查。

接下来盯什么

一是未来72小时内的 exploit 尝试浪潮规模——安全厂商的蜜罐数据将给出第一份答案；二是150万无补丁主机的收敛速度，它决定这场危机是"可控事件"还是"长期流行病"；三是AI漏洞研究的下一步——Wiz Atlas式的工具会否被更多厂商与开源社区采用，形成"AI巡检代码库"的新常态；四是政策层面的反应——NSA已出手，欧盟网络机构与各国CERT的联动会否催生对"关键开源组件"的强制审计要求^[1]。