OpenAI与谷歌Wiz利用AI发现PHP重大漏洞，美国NSA警告数百万网站需立即修补或下线

美国国家安全局（NSA）于2026年10月21日发布紧急警告，指出在服务器端编程语言PHP中发现两个严重漏洞。由于PHP支撑着全球约70%的网站（包括WordPress等主流内容管理系统），这一发现引发了互联网基础设施的广泛担忧。NSA建议，如果网站无法立即应用补丁，应暂时将其从网络上移除，直到完成修复。

这些漏洞由OpenAI和谷歌旗下的云安全公司Wiz通过人工智能技术发现。OpenAI的安全测试合作伙伴Calif使用GPT-5.6 Sol模型在其“Patch the Planet”计划中定位了其中一个漏洞；Wiz团队则结合其Wiz Atlas安全AI代理、Gemini 4 Argon和GPT-5.6 Sol发现了多个PHP漏洞。值得注意的是，这些缺陷自2004年发布的PHP 5版本以来一直存在，但此前因过于复杂而难以被黑客利用。

Wiz在博客中指出，AI改变了游戏规则：“LLM可以帮助将漏洞利用适配到不同的PHP版本、配置和内存布局。”这意味着过去需要极高专业知识的攻击手段，现在可能通过AI自动化实现。尽管OpenAI表示研究人员先于黑客发现了这些漏洞且目前尚无野外利用报告，但公开披露后，黑客已获知详情，互联网正面临一场与时间的赛跑，以在攻击发生前修补数千万个网站。

PHP基金会已发布针对当前版本（如8.5.12）的补丁。运行旧版PHP（8.1及更早版本已停止支持）的网站需要进行升级工作。此次事件凸显了AI在网络安全中的双刃剑效应：它既帮助防御者提前发现并修补了潜在灾难性漏洞，也降低了攻击者利用深层系统缺陷的技术门槛。