NSA警告PHP两个高危漏洞，由OpenAI与谷歌Wiz的AI模型发现

OmniTools 10月22日消息，美国国家安全局（NSA）周三警告称，PHP 中发现两个高危漏洞，PHP 基金会已发布补丁。PHP 广泛用于 Web 应用，约支撑全球 70% 的网站，按部分统计涉及超过 3300 万个站点，WordPress 等内容管理系统也在使用。

NSA 表示，漏洞严重到若网站无法立即修补，应暂时下线直至完成修复。漏洞可让攻击者侵入服务器文件系统或 Web 应用使用的数据库。相关漏洞自 2004 年发布的 PHP 5 起存在于所有版本中；PHP 8.1 及更早版本已不再支持，建议升级至当前版本 PHP 8.5.12。

OpenAI 披露，安全测试公司 Calif 参与其“Patch the Planet”计划，使用 GPT-5.6 Sol 发现了其中一个漏洞。Wiz 团队则使用其 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 和 GPT-5.6 Sol 发现 PHP 中的多个漏洞。双方均与 PHP 方面合作完成补丁后再公开披露，Wiz 还致谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、微软和 Vercel。

OpenAI 称，漏洞由研究人员先于黑客发现，目前没有在野利用报告。Wiz 指出，在 AI 出现前这类漏洞对黑客而言很难利用，但大模型可帮助将漏洞利用适配到不同的 PHP 版本、配置和内存布局，因此 AI 既是发现并阻止该问题的手段，也是风险上升的原因。WordPress 声明该漏洞并非 WordPress 特有，运行其 CMS 的站点仍需修补服务器并与托管商协作。