AI發現PHP十年老漏洞：全球75%網站受威脅，多國政府網站緊急下線，150萬主機尚無補丁

全球網際網路正經歷AI時代的第一次「基礎設施級」安全危機：美國國家安全局（NSA）週三發出緊急警告，研究人員藉助AI工具在PHP程式語言中發現兩處嚴重安全漏洞——這個支撐全球約75%網站底層運行的程式碼庫中，缺陷已潛伏超過十年；荷蘭、法國、丹麥、芬蘭等多國政府網站緊急下線，PHP開發團隊發布緊急補丁並呼籲所有用戶「立即更新」^[1]。

事件全景：AI先於攻擊者找到漏洞

事件的時間線本身就是歷史性的一頁。谷歌旗下網路安全公司Wiz在部落格中揭露，其自主AI漏洞研究工具Wiz Atlas結合谷歌Gemini 4 Argon與OpenAI的GPT-5.6 Sol發現了上述缺陷；另一家網路安全公司Calif表示其於8月1日藉助大語言模型獨立發現同一漏洞，此後持續參與修復，兩家公司與PHP團隊及OpenAI協調處置^[1]。Wiz指出，這些漏洞在PHP程式碼庫中隱匿逾十年，若依賴人工排查，發現與利用的難度都極高——「在AI出現之前，這一手工工作實施困難，更難以規模化推進；有了AI，這一障礙已不復存在」^[1]。OpenAI的表態把嚴重性拉到頂格：「鑒於這些漏洞的嚴重程度以及PHP的廣泛應用，我們認為這是近期記憶中影響最深遠的安全問題之一」，並強調「據我們所知，前沿AI在攻擊者之前率先發現了這些漏洞」^[1]。

風險量化：260萬主機，150萬尚無補丁

數字勾勒出攻擊面的規模。據網際網路情報公司Censys的數據，在約260萬個運行PHP的主機中，目前約150萬個使用的版本尚無可用補丁；PHP為全球約75%已知程式語言構成的網站提供底層支撐，WordPress、Drupal、Joomla和Magento都建立在它之上——Drupal協會臨時CEO Tiffany Farriss的判斷是：「所有使用過去20年間任何PHP版本的伺服器都將面臨漏洞風險，這一問題影響網際網路的多數站點。」^[1]更緊迫的是補丁發布後的「逆向工程競賽」：由於補丁已公開，專家警告駭客可利用AI輕易對漏洞進行逆向工程，大規模入侵浪潮或一觸即發——網路安全公司TLP:Black聯合創辦人Costin Raiu稱之為「爭先利用的競賽」，下一步將是「網際網路上所有存在漏洞的網路伺服器遭到大規模攻陷」^[1]。業界以「PHP末日」（PHP Armageddon）形容此次事件，恐慌情緒本身也成了傳播面的一部分^[2]。風險分布高度不均：WordPress.com運營方Automattic表示其託管用戶及Tumblr用戶不受影響，真正的軟肋是技術資源匱乏的小型PHP網站——長尾站點普遍缺乏安全維運能力，恰是殭屍網路最喜歡的獵物^[1]。

結構性轉變：攻防兩端都被AI加速

這次事件的深層意義在於網路安全攻防態勢的結構性轉變。防禦側，AI把「大海撈針」式的程式碼審計變成了可規模化的流水線——十年未被人工發現的缺陷被AI率先定位，這是「AI for Security」迄今最具說服力的實戰證明；但同一枚硬幣的反面是，攻擊側同樣獲得了規模化能力：補丁逆向、漏洞利用生成、攻擊鏈組裝，每個環節都在被AI加速。換句話說，AI沒有讓世界更安全或更危險，它把攻防雙方的時鐘同時撥快了——而攻守天然不對等：防禦者要補260萬個主機，攻擊者只需找到一個未補的。對網站運營者，行動清單很短但很硬：立即升級PHP到最新補丁版本；用不了補丁的舊系統，考慮在閘道層做虛擬補丁；託管在大型平台上的用戶確認平台公告；所有PHP應用的依賴與外掛同步檢查。

接下來盯什麼

一是未來72小時內的利用嘗試浪潮規模——安全廠商的蜜罐數據將給出第一份答案；二是150萬無補丁主機的收斂速度，它決定這場危機是「可控事件」還是「長期流行病」；三是AI漏洞研究的下一步——Wiz Atlas式的工具會否被更多廠商與開源社群採用，形成「AI巡檢程式碼庫」的新常態；四是政策層面的反應——NSA已出手，歐盟網路機構與各國CERT的聯動會否催生對「關鍵開源組件」的強制審計要求^[1]。