AI挖出网站底层重大漏洞，修补互联网为何更难？

网站的业务代码即使写得没有问题，支撑它运行的底层程序出了漏洞，也可能让攻击者找到入口。

10月21日，广泛用于网站服务器的PHP语言发布安全更新，修复两个严重漏洞。研究者借助AI，进一步确认了一类长期存在的问题能够怎样被利用。随后，维护团队、云服务商和网站运营者需要争分夺秒，把修复真正部署到系统里。

这场被研究团队称为“PHP2Shell”的漏洞事件，值得关注的地方不只在AI找错速度。它还暴露出一个更难的问题：当发现漏洞变得更快，谁来承担修补互联网的工作？

“近七成”不能理解成七成网站已被攻破

PHP负责在服务器端处理大量网站请求，可以把它理解成让网页业务运转的一套底层执行环境。

根据PHP项目公告，在满足相应条件的部署中，攻击者可能无需登录便触发漏洞，进而在服务器上执行代码。不同运行方式的攻击路径和风险并不完全相同，不能只凭网站使用PHP，就判断它已经遭到入侵。

被广泛引用的“近七成”，也有明确分母。W3Techs在10月22日显示，在能够识别服务器端编程语言的网站中，PHP占69.3%。这个数字描述语言使用情况，既不是全部网站的普查，也不是受漏洞影响或已被攻击的网站数量。

影响可能很广，与每个站点都能被同样利用，是不同的判断。

根因线索早在2024年就已出现

PHP基金会对修复过程的说明，比“AI突然发现一个漏洞”的叙事更复杂。

基金会称，维护者在处理一项外部安全审计发现的问题时，2024年就注意到了相关根因。当时可利用性尚未得到具体证明，而不同修复方案可能影响兼容性、性能和扩展，甚至引入新的拒绝服务风险，也就是让正常用户无法获得服务。

专业维护者稀少、修复方案难以达成一致，使工作一度停滞。基金会将这一拖延明确归为需要改变的结构性问题。

今年，Calif、OpenAI和Wiz等研究团队陆续推进相关研究。Calif的公开说明也强调了人的作用：研究者带着既有漏洞历史和假设组织调查，AI帮助检查和探索，远非给模型一句笼统指令就能找出所有安全问题。

因此，这次事件同时包含两件事：AI增强了安全研究能力，长期维护机制也必须跟上。

多一份漏洞报告，还不等于多一份安全

PHP基金会此前已因安全报告增多，增加处理和修复相关问题的人手。大量报告仍要经过人工确认，重复、无效或无法复现的内容，同样会消耗维护资源。

一个修复还必须经得起测试：堵住漏洞之后，正常网站能否继续运行，旧系统和扩展会不会出问题？补丁发布后，又有多少运营者及时升级？

这些工作很难用“AI找到了多少漏洞”衡量，却直接决定用户是否更安全。

此次补丁原计划10月22日发布。基金会称，由于漏洞信息提前外流，发布时间改到21日。安全更新覆盖8.5、8.4、8.3和8.2四个受支持分支。使用老版本的运营者，还需要确认自己的维护服务商是否提供了相应修复，或安排升级。

Cloudflare表示，已向客户部署防护措施，并观察到针对相关漏洞的攻击流量。但网络入口处的过滤只能充当临时防线，不能替代底层PHP版本的修复。它的观察范围，也不能直接代表全球攻击规模。

这场事件给AI安全研究提供了一个现实提醒：找到问题越快，修复、测试、协调和部署就越不能成为短板。让互联网更安全，需要更强的找错工具，也需要有资源把问题真正修好的人。

参考资料

[1] PHP. PHP 8.5.12、8.4.27、8.3.36与8.2.35安全公告[EB/OL]. (2026-10-21)[2026-10-22].

[2] W3TECHS. Usage Statistics and Market Share of PHP for Websites[EB/OL]. [2026-10-22].

[3] THE PHP FOUNDATION. Today’s PHP Security Release, and How We’re Strengthening PHP Security[EB/OL]. (2026-10-21)[2026-10-22].

[4] CALIF. PHP2Shell[EB/OL]. [2026-10-22].

[5] THE PHP FOUNDATION. Welcoming Alexandre Daubois to The PHP Foundation[EB/OL]. (2026-07-14)[2026-10-22].

[6] CLOUDFLARE. Cloudflare Deploys Protections Against php2shell Vulnerability[EB/OL]. (2026-10-21)[2026-10-22].