[读懂科学]人工智能发现互联网致命漏洞……全球拉响警报
发现两处隐藏十多年的PHP漏洞……甚至可能控制服务器
人工智能降低攻击门槛……网络安全体系面临冲击
我们每天访问的互联网中，隐藏着一个数十年来从未有人真正深入审视的弱点。尽管众多开发人员会审查代码，安全专家也会寻找漏洞，但要发现错综复杂的程序中的所有错误并不容易。更何况，即使发现了错误，如果它难以被用于实际攻击，有时也会被认为风险较低。人工智能正在动摇这一长期以来的普遍认知。
全球网站广泛使用的编程语言 PHP 中，发现了两处严重安全漏洞。相关缺陷已存在十多年，研究人员借助人工智能进行分析，并将其转化为能够实际控制网络服务器的攻击手段，这一点令人震惊。专家警告称，此次事件可能不只是一起普通的软件安全事故，还会成为改变人工智能时代网络攻击与防御方式的转折点。
利用人工智能开展的安全研究揭示了网页编程语言 PHP 中的致命漏洞，全球互联网安全警报随之拉响。图为人工智能生成的图片，呈现 PHP 的内存安全缺陷及网站安全威胁。
View original image据安全公司 Wiz 和 PHP 开发团队23日公布的信息，此次漏洞被称为“PHP2Shell”。其国际通用漏洞标识编号为 CVE-2026-109618 和 CVE-2026-109619。两项漏洞在国际通用漏洞评分系统中的得分均为9.2分，属于最高风险等级“严重”。
PHP 是一种在互联网幕后运行的核心编程语言。当用户登录网站或在网上商城下单时，网络服务器会利用它处理信息，并与数据库进行数据交互。PHP 也是 WordPress、Drupal、Joomla 等常用网站制作工具的基础。
Wiz 估计，全球约70%的网站使用 PHP。不过，这并不意味着全球70%的网站都面临被黑客入侵的风险。实际风险取决于 PHP 版本、服务器设置以及是否安装了安全补丁。
内存中的微小错误演变为服务器失陷……人工智能突破技术壁垒
此次漏洞的核心在于计算机管理内存的方式。程序运行时会把所需数据存入内存，任务完成后再释放相应空间。问题会在内存不足或程序出现严重错误时发生。
当正在处理的请求超出设定的内存限制时，PHP 会中止运行并清理已使用的资源。但研究人员发现，在这一过程中，部分数据可能未被彻底清除，或者程序可能出现再次访问已释放内存的错误。
其中一种典型问题是“释放后使用”（Use After Free）内存安全漏洞，即程序再次读取或写入已不应使用的内存空间。攻击者若能利用这一问题，就可能读取其他请求使用过的密码或认证信息，甚至改变程序的执行流程。
一般的网站攻击会针对登录功能、留言板等单个程序的漏洞，而此次漏洞直接指向在底层运行的 PHP 执行引擎本身。这意味着，即使网站的应用程序代码没有明显问题，只要运行环境存在漏洞，网站仍可能遭到攻击。
Wiz 研究团队在使用 WordPress、Drupal 和 Joomla 的测试环境中，成功实现了无需登录便可在服务器上执行任意命令。研究人员还确认，攻击者可能借此访问服务器内存中残留的密码、认证令牌和应用程序编程接口密钥等敏感信息。
安全研究人员正演示利用 PHP 漏洞从远程执行网络服务器命令的过程。研究人员确认，在 WordPress、Drupal 和 Joomla 环境中，无需登录即可执行服务器命令。图片由 PHP2Shell 研究团队提供。
View original image中央大学安全研究生院教授 Lee Gihyeok表示：“此次漏洞属于内存安全缺陷，产生于 PHP 引擎处理内存不足等严重错误的过程中。问题出在运行环境本身，而非单个应用程序，因此可以与 Heartbleed 或 Log4Shell 相提并论。”
那么，存在已久的缺陷为何直到现在才成为严重威胁？
漏洞存在，与漏洞能够被实际用于攻击，是两回事。要利用内存错误控制服务器，攻击者必须将多个缺陷串联起来，并精确掌握程序存储和释放数据的顺序。PHP 版本或服务器设置一旦不同，攻击方式也需要相应调整。
过去，这类工作需要资深安全专家进行长期分析和反复测试。但此次事件中，人工智能被用于分析代码、验证攻击可行性、查明失败原因以及调整攻击方式。
Wiz 研究团队表示，他们使用了 Google DeepMind 的 Gemini 和 OpenAI 的 GPT 系列模型等工具。研究团队特别指出，借助人工智能，他们大幅缩短了针对不同服务器环境调整并验证攻击方式所需的时间。
英国伦敦雷文斯本大学网络安全专业教授 Kim Gyeonggon表示：“此次发现 PHP 漏洞，是人工智能将给网络安全领域带来变化的序幕。过去，资深安全专家需要花费很长时间分析的复杂漏洞，如今借助人工智能可以更快地发现，甚至验证其是否能被用于实际攻击，这一点至关重要。”
不过，不能因此认为人工智能在没有人类介入的情况下自行发现了所有漏洞。
悉尼大学人工智能评估与治理专家 Rebecca Johnson指出：“并非人工智能独自发现了 PHP 的缺陷。安全研究人员知道应该从哪里着手，并在数十年来积累的研究成果基础上使用人工智能。”她强调：“此次发现展现了人工智能的能力，但这类系统能否稳定运行、需要多少人类专家指导，仍须另行验证。”
攻击与防御的时间差正在消失……互联网安全迎来新考验
此次事件带来的最大问题，是网络攻击的速度。以往，安全研究人员发现漏洞后，通常会先通知软件开发商，由开发商制作修复程序并对外发布。人们普遍认为，即便漏洞存在的事实已经公开，攻击者仍需要相当长的时间才能开发出实际攻击手段。
人工智能正在缩短这一时间差。安全专家可以借助人工智能快速分析复杂缺陷，攻击者也同样能够使用这项技术。因此，过去因难以发动攻击而被评为相对低风险的漏洞，也越来越可能演变为实际威胁。
澳大利亚墨尔本大学工程与信息技术学院高级讲师 Shanan Connie指出：“过去，即使提前公布漏洞，攻击者也需要时间才能找出具体缺陷。人工智能正在改变这一局面，我们必须重新思考现行的漏洞披露流程是否仍然合适。”
有观点认为，所谓“人工智能对人工智能”的网络安全竞争可能全面展开，即人工智能同时加速漏洞检测和攻击手段开发。防御方必须借助人工智能抢先发现并修复软件缺陷，攻击方则可以利用同一技术寻找尚未修复的系统。
更大的问题在于，互联网依靠大量软件相互协作运行。一个网站可能同时使用 PHP、其他程序、外部库、数据库和服务器管理工具等。只要其中一项仍存在安全漏洞，整个系统就可能陷入风险。
澳大利亚新南威尔士大学网络安全高级讲师 Rahat Masood强调：“即使组织已经为自有网站安装了安全补丁，只要外部软件或相关组件仍存在漏洞，攻击者就可能加以利用。组织必须掌握自己使用的所有软件，以及外部供应商的安全管理状况。”
实际应对工作已经展开。PHP 开发团队21日发布了修复漏洞的 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，并建议立即更新。韩国互联网振兴院（KISA）也于同日发布安全公告，敦促用户更新受影响的版本。
问题在于旧系统。PHP 8.1 及更早版本已停止官方安全支持，因此有时难以安装最新安全补丁。部分操作系统供应商会提供单独的修复程序，但没有此类支持的系统则需要迁移至受支持的版本。
由外部企业负责开发和维护的系统也需要接受检查，例如韩国公共机构、地方政府和学校的网站。如果连旧网站使用的 PHP 版本都没有得到妥善管理，即使安全补丁已经发布，也很难及时采取应对措施。
Lee Gihyeok教授强调：“韩国有不少已结束维护的外包网站，以及地方政府和学校的网站仍放任已停止支持的旧版 PHP 运行，这尤其令人担忧。补丁响应周期应缩短至以天为单位。”
不过，这并不意味着所有使用 PHP 的网站都已遭到黑客攻击。虽然已发现一些攻击尝试，但整体受侵害规模尚未确认。部分机构暂时关闭网站，也可能是为了安装安全补丁而采取的预防措施，并不代表已经遭到黑客攻击。
此次事件让人想起2014年在互联网加密通信基础设施 OpenSSL 中发现的 Heartbleed 漏洞，以及2021年在 Java 日志记录工具中发现的 Log4Shell 漏洞。这两起事件都表明，广泛使用的通用软件即使只有微小缺陷，也可能影响全球互联网服务。
PHP2Shell 则提出了一个新问题：如果人工智能能够将过去被认为难以利用的漏洞变成实际攻击手段，现有安全体系能以多快的速度作出响应？
Johnson指出：“真正的风险在于，漏洞变得可用于攻击的速度，与组织保护自身的速度之间，差距正在扩大。人工智能可以帮助发现缺陷并开发修复程序，但在实际安装补丁之前，没有人能得到保护。”
Kim教授表示：“今后，网络安全竞争力将取决于能否以战略性的方式运用和管控人工智能，而不只是取决于人工智能技术本身。”
版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。
