据哥伦比亚广播公司新闻（CBS News）报道，人工智能（AI）系统帮助安全研究人员发现了一个潜伏在PHP编程语言中的高危漏洞。PHP是目前互联网上使用最广泛的服务器端脚本语言之一，据估计约70%的网站都依赖它运行。这一漏洞可能使攻击者能够远程执行恶意代码，从而控制受影响服务器。SentinelOne情报与安全研究副总裁胡安·安德烈斯·格雷罗-萨德（Juan Andrés Guerrero-Saade）在CBS新闻节目《The Takeout》中详细解析了此次事件的严重性。
新闻资讯漏洞发现过程：OpenAI扮演关键角色
此次漏洞的发现并非传统的人工审计，而是借助了OpenAI的大语言模型。安全团队将PHP源代码部分片段输入AI系统，AI通过模式识别和代码分析，迅速定位了一段可能存在缓冲区溢出风险的代码。据格雷罗-萨德透露，AI在数分钟内就标记出了该异常，而人工审查通常需要数天甚至数周。
新闻早报“我们以前从未想过用AI来‘狩猎’漏洞，但这次实验证明，AI可以大幅缩短从代码编写到漏洞发现的时间差，”格雷罗-萨德在节目中表示。该发现随后被提交至PHP官方维护团队，后者确认这是一个已存在多年的远程代码执行漏洞（CVE编号暂未公布）。安全公司SentinelOne强调，利用该漏洞的攻击代码已经在地下论坛流通，但尚未观察到大规模利用。
新闻晚报PHP漏洞原理与影响范围
该漏洞位于PHP的会话处理模块及文件上传函数中。当服务器处理特制的HTTP请求时，未经正确验证的输入数据可被注入内存，从而劫持进程执行流。受影响版本包括PHP 7.4.x、8.0.x、8.1.x及8.2.x全系列，几乎涵盖了目前生产环境中所有主流版本。
新闻直播
| 版本系列 | 受影响状态 | 全球网站占比（估算） | 是否已发布补丁 |
|---|
| ---------- | ------------ | ---------------------- | ---------------- |
|---|
| PHP 7.4 | 是 | 约15% | 是（7.4.33） |
|---|
| PHP 8.0 | 是 | 约12% | 是（8.0.30） |
|---|
| PHP 8.1 | 是 | 约28% | 是（8.1.29） |
|---|
| PHP 8.2 | 是 | 约25% | 是（8.2.20） |
|---|
| 合计 | — | 约70% | — |
|---|
数据来源：W3Techs网站使用调查及PHP官方公告。路透社（Reuters）引用网络安全公司Qualys的分析指出，全球约3500万个域名使用PHP，其中约三分之二可能尚未及时应用最新补丁。
安全专家深度解读：零日窗口有多长？
格雷罗-萨德指出，虽然OpenAI加速了漏洞发现，但也意味着攻击者同样可以利用AI更快地挖掘漏洞。“我们只用了几个API调用就找到了这个bug，那么恶意行为者完全可以重复这个过程。”他警告说，AI正在改变攻防双方的“时间差”——过去漏洞在被发现到被利用之间可能有数周窗口，现在可能缩短到几天甚至几小时。
“这对整个行业是一个警钟，”格雷罗-萨德强调，“我们不能再用旧时代的打补丁节奏去应对AI时代的漏洞。每延迟一天，就有数万个站点暴露在风险中。”他呼吁网站管理员立即检查PHP版本并更新至最新补丁。
历史类似漏洞事件对比
PHP历史上曾多次出现严重漏洞，但本次事件的特殊性在于AI的参与。以下对比表显示了过去十年主要PHP漏洞的发现方式与影响范围。
| 漏洞名称/年份 | 发现方式 | 受影响版本 | 受影响网站比例 | 从发现到公开补丁时间 |
|---|
| --------------- | ---------- | ------------ | ---------------- | ---------------------- |
|---|
| CVE-2012-1823 (2012) | 人工审计 | PHP 5.3.x | 约35% | 14天 |
|---|
| CVE-2019-11043 (2019) | 自动化fuzzing | PHP 7.x | 约40% | 8天 |
|---|
| CVE-2023-3824 (2023) | AI辅助分析 | PHP 8.0-8.2 | 约55% | 5天 |
|---|
| 当前漏洞 (2026) | AI主導发现 | 全线版本 | 约70% | 4天（预计） |
|---|
从上表可以看出，AI发现不仅使受影响范围达到史上最大，也推动了补丁发布速度的极限。
网站管理员应如何应对？
PHP官方已在漏洞发现后72小时内发布了修复版本（7.4.33、8.0.30、8.1.29、8.2.20）。所有运行PHP的服务器应立即执行以下步骤：
- 确认当前PHP版本：运行 `php -v` 或查阅服务器管理面板。
- 备份应用程序和数据库。
- 升级到对应的修补版本：例如将PHP 8.2.19升级至8.2.20。
- 重启Web服务器（Apache/Nginx）使新版本生效。
- 检查日志确认无异常请求，并考虑部署Web应用防火墙（WAF）作为临时缓解措施。
据美联社（AP）报道，多家托管商如Cloudways、SiteGround已开始向客户推送自动更新。对于无法立即更新的站点，建议至少禁用受影响的会话处理模块（如`session.save_handler`改为`files`以外的类型）以降低风险。
常见问题解答（FAQ）
Q1: 这个AI发现的漏洞到底有多危险？
A1: 非常危险。该漏洞可被远程利用，攻击者无需认证即可触发。成功利用后，攻击者可以获得与Web服务器进程相同的权限，进而窃取数据、植入后门或横向移动。由于PHP覆盖了约70%的网站，潜在受害者数量巨大。安全公司SentinelOne评估其CVSS评分为9.8（满分10），属于“严重”级别。
Q2: 我的网站使用了WordPress，需要担心吗？
A2: 是的，WordPress本身基于PHP运行，并且大量插件和主题依赖PHP的会话和文件处理功能。即使WordPress核心及时更新，底层PHP版本过期仍然会使网站暴露。建议你通过托管控制面板或联系主机商确认PHP版本是否已升级至修补版本。如果主机商尚未提供新版本，应考虑临时使用Cloudflare或其他代理增加安全层。
总结与展望
AI发现PHP高危漏洞事件标志着网络安全攻防进入新阶段：机器学习工具不仅用于防御，也成为攻击面探测的加速器。全球70%的网站面临威胁，但更令人警醒的是，类似漏洞可能只是冰山一角。未来，企业及开发者需将AI驱动的安全审计纳入DevOps流程，同时持续关注开源生态的补丁节奏。正如格雷罗-萨德所说：“AI不是敌人，但忽视AI带来的速度变化，才是真正的风险。”
