美NSA警告PHP两个严重漏洞 建议未修补网站下线

据TechCrunch报道，美国国家安全局周三警告称，PHP中发现两个严重漏洞，PHP基金会已发布补丁。PHP是全球使用最广的服务器端编程语言之一，支撑约70%的互联网网站，按部分统计超过3300万个站点，WordPress等流行内容管理系统也依赖它。

美国国家安全局称，漏洞严重到网站若无法立即修补，就应暂时下线，直至完成修补。这些漏洞可让攻击者侵入服务器文件系统或网站应用可能使用的数据库。漏洞存在于自2004年发布的PHP 5以来的所有版本中；PHP 8.1及更早版本已不再受支持，建议将Web服务器更新至当前版本PHP 8.5.12。

漏洞由AI工具发现。OpenAI在博客文章中披露，安全测试公司Calif参与其“Patch the Planet”计划，使用GPT-5.6 Sol发现其中一个漏洞。Wiz团队则使用其Wiz Atlas安全AI代理、Gemini 4 Argon和GPT-5.6 Sol发现PHP中的多个漏洞。两家机构均遵循负责任的安全研究做法，在公开披露前与PHP合作修补并测试补丁。Wiz还感谢Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、微软和Vercel参与。

WordPress表示，该漏洞并非WordPress特有，使用其内容管理系统的站点必须修补服务器，并与托管公司合作确保网站受到保护。OpenAI称，这些漏洞由研究人员先于黑客发现，目前没有在野利用报告；这在一定程度上也因为，在AI出现前，这些漏洞对黑客而言难以利用。Wiz在其博客中警告，AI已不再构成障碍，大语言模型可帮助将漏洞利用适配不同PHP版本、配置和内存布局。

由于漏洞已公开，黑客现已了解情况，互联网需要在攻击者利用未修补站点前，为数以千万计网站完成修补。美国国家安全局因此建议，无法立即修补PHP网站的运营者最好先将其下线。