《华尔街日报》(WSJ)周三(21日)报导，人工智能协助资安研究人员找出重大漏洞，如今也让全球网站管理员面临修补时间压力。支撑全球多达七成网站的PHP技术，周三揭露名为「PHP2Shell」的严重安全问题，攻击者可能借此控制尚未修补的服务器、窃取数据，甚至通过遭入侵网站攻击访客。

研究人员警告，先进AI不仅能协助找出漏洞，也可能加速黑客开发攻击工具。部分网站管理员表示，已预防性关闭网站，避免在完成修补前遭入侵。七成是PHP的网站使用占比，实际风险仍取决于各网站的软件版本、系统环境与修补情况。

PHP爆十多年来最严重漏洞 全球网站抢修

PHP2Shell涉及PHP管理电脑内存方式的一系列缺陷，攻击途径不只一种。黑客可能利用这些问题，在未修补的网页服务器运行未经授权的程序，部分攻击只需数秒即可完成。

负责维护PHP项目的非营利基金会资安工程师Volker Dusch表示，这是PHP十多年来最严重的安全问题。他将其比拟为「心脏出血」(Heartbleed)漏洞，后者曾迫使全球管理员紧急修补数十万台服务器。

安全更新发布，往往也是攻防竞赛的起点。防守方需要测试、安装修补程序，攻击者则会比对代码变动，找出漏洞位置并设计攻击手法。资安专家指出，AI能比人类更快完成这些工作，进一步压缩防守方的应变时间。

最早发现问题的资安公司Calif首席执行官Thai Duong警告，有人可能取得修补程序后，交由AI分析并公开攻击脚本，届时情况恐迅速失控。

AI挖出多年隐患 旧有风险变成可行攻击

Calif研究员Ryan Austin今年8月检查PHP原代码时，在OpenAI模型GPT-5.6 Sol协助下发现这些漏洞。OpenAI资助了这次及其他代码安全检查，协助开源项目处理AI陆续挖掘出的安全问题。

Thai Duong表示，这类缺陷已藏在PHP原代码多年，数十年前就有研究人员指出相关风险，但当时被认为太难利用，逐渐遭到淡忘。

AI改变了这项判断。Ryan Austin找出方法，只需向PHP服务器发送数十次请求，就可能控制电脑内存中运行的代码。较小型系统可能数秒内遭攻破，复杂系统则可能需要数小时。

8月11日，Thai Duong致电Volker Dusch示警。研究人员与软件工程师随后组成非正式工作小组，联合软件发行商及资安公司研拟修补与防御措施。

Google旗下Wiz资安团队也独立发现新的漏洞利用方式，OpenAI研究团队同样提出相关发现。研究人员担心，犯罪者可能藉AI快速扩大攻击，在大量网站完成更新前下手。

修补消息提前外泄 团队紧急提前发布更新

Wiz共同创办人Ami Luttwak形容，PHP2Shell是迄今通过AI发现最严重的漏洞，复杂程度可能高到没有AI就难以找出。研究团队因此严守消息，避免攻击者抢在修补完成前利用漏洞。

这次修补规模庞大，涉及近200个文件，开发人员撰写超过1万行代码。原定更新日期为10月22日，未料周二Hacker News出现相关贴文，距离预定发布时间已不到两天。

消息外泄后，PHP团队决定提前发布修补程序，周二先通知外界准备迎接周三的重大安全更新。Volker Dusch表示，这项安排是在提醒防守方及避免留给攻击者太多开发时间之间，取得适当平衡。