PHP两个高危漏洞波及超百万服务器，AI几天内验证利用路径

近日，PHP 这款全球使用极广的服务器端编程语言被曝出 2 个高危安全漏洞。公开数据显示，仅已确认暴露在外的受影响服务器就超过百万台，多国政府机构和企业网站紧急下线。

其实相关问题的早期迹象 2024 年就出现了。当时缺少明确的可利用路径，修复方案又存在技术取舍，维护资源也不足，事情一直没彻底解决。直到 2026 年，安全研究人员借助 AI 等手段，才验证了它的严重安全影响。

人工智能会怎样改变网络安全的攻防格局，再次成为焦点。

AI 不是防守方的专属能力。专业投入门槛降下来之后，攻击者同样可能更快地发现和分析漏洞、开发工具，再把它适配到不同目标。微软创始人

AI把漏洞发现推向“流水线生产”

PHP 在网站后台开发中用得很多。网络技术分析机构 W3Techs 统计显示，全球约四分之三的网站把它当作服务器端编程语言，漏洞一旦被利用，潜在暴露面相当大。

多家网络安全机构指出，这次漏洞出在 PHP 底层的内存处理机制上，波及多个主流版本和常见 Web 运行环境。特定条件下，攻击者不用通过身份认证就能远程执行代码，网站可能被篡改、敏感信息可能泄露，服务器也可能失陷。

要说清楚的是，PHP 这次漏洞的线索并不是头一回被发现。

360 漏洞研究院专家向《每日经济新闻》记者表示，2020 年 PHP 就被报告存在内存耗尽问题，2024 年人工安全审计又发现了它，可当时没法证明它能形成有效的攻击路径。“线索一直都在，卡住的是验证这一步。”到 2026 年，研究人员用上 AI，几天就找到了远程代码执行路径。

该专家还提到，AI 之所以能迅速跑通，得益于它能把不同模块、不同请求串起来做关联分析。“这个漏洞牵扯好几个模块的执行逻辑，也涉及跨请求的状态变化。单拎一个异常出来看，也许不过是程序中断，或者资源被耗尽；可要想证明它真能被利用，就得把各模块的执行先后、状态残留以及后续请求连成一条线来研判。这恰好是AI擅长的地方。”

奇安信人工智能公司安全专家汪列军也认为，AI 的长处主要在“批量穷举”和“跨路径关联”。大型代码库里，内存耗尽、请求结束、状态重置这些异常路径的组合场景，它能同时扫一遍；换成人工审计，这些跨请求的时序条件很难穷举完。

奇安信的报告显示，2026 年上半年新增漏洞同比增长 51.9%，30.2% 的高危漏洞发布当天就被利用，83.7% 在 21 天内遭到攻击。汪列军对《每日经济新闻》记者说：“AI正在把漏洞发现从‘手工作坊’推向‘流水线生产’。”

攻防“时间差”被系统性压缩

AI 发现和验证漏洞的速度上来了，防守方能不能同步做完资产排查、补丁部署和风险处置，成了网络安全产业的新考题。

汪列军强调，AI 技术用起来之后，攻防格局已经出现结构性变化：攻防的“时间差”被系统性压缩，防守方过去“等补丁、再升级”的节奏彻底失效。

汪列军介绍，这次 PHP 漏洞公开前细节就已泄露，补丁发布当天就观测到利用行为，说明攻击者的响应速度已经进入“小时级”。防守一侧，AI 同样能提升资产测绘、漏洞验证和异常检测的效率，可攻击是单点突破，防守要全面覆盖，AI 给攻击侧带来的边际收益更大——攻击者只要找到一个入口，防守方却得守住所有资产。

前述 360 漏洞研究院专家也坦言，AI 正明显拉低高危漏洞发现和利用的技术门槛。技能层面，它能帮使用者理解漏洞机制、判断攻击条件、编写验证脚本，过去要靠专业知识积累的活儿被简化了；产能层面，一个人借助 AI，就能完成过去一个小团队才能做的一部分工作，漏洞分析和攻击准备的效率都提升不少。

这位 360 专家认为，从攻防态势看，短期内攻击方更容易吃到红利，因为攻击者只需找到一个可行的突破口，防御方却要持续保护大量系统。但长期看，防御方同样能用 AI 加快漏洞挖掘、风险排查和修复验证。关键不是谁拥有 AI，而是谁能更快把 AI 能力用到实战里。另外，攻击者会借 AI 加快找漏洞，防御方就必须用 AI 抢在攻击者前面发现风险。

汪列军表示：“我们的看法是，光靠把漏洞挖掘能力提上去来抹平差距，不现实；指望AI原生安全能力单点突围，同样不现实。真正走得通的路，是让网络安全体系整体加快升级，从‘追着漏洞跑’改成‘带着漏洞防守’。”

风险治理短板浮出水面

这起 PHP 漏洞也把网络安全推到了资本市场聚光灯下。10月23日，万得网络安全指数涨了 4.17%，网络安全板块集体走强，绿盟科技、启明星辰盘中涨停。落到产业上，眼下的漏洞管理机制、企业安全投入以及行业协作体系，都正被推着重新塑造。

汪列军认为，这次事件暴露出三大断层：

第一，漏洞修复速度跟不上披露速度。PHP 官方原定 22 日发布补丁，因细节提前泄露被迫提前到 21 日；有厂商又提前 6 小时发布修复镜像，全网的防护窗口被进一步压缩。

第二，企业修复能力参差不齐。Bitsight 扫描显示，能识别版本的 PHP 实例中，只有约三分之一落在有补丁的版本范围内，暴露在互联网上的多数 PHP 仍面临“补丁覆盖不足”的困境。

第三处变化出在协作机制上。协同披露的约定被一方单方面撕毁，攻击者由此可以反推出漏洞位置，多国政府网站被迫预防性下线。

AI确实让复杂漏洞研究的耗时和技术门槛降了下来。可它补不上企业在资产管理、修复能力和安全治理上的窟窿。汪列军认为，网络安全公司眼下最该补的是“带着漏洞防守”的体系化本事，而非某个单点的漏洞挖掘工具。漏洞在AI时代挖得越来越快，“带洞防护”成了常态，只等出事再打补丁行不通。

用户这一侧，汪列军表示要补三块能力。一是“看得见”：马上把家底摸清，哪些系统跑着PHP、是什么版本，哪些挂在公网上，哪些是早没人维护的老系统。二是“快闭环”：补丁打完，得按“密码可能已泄露”的标准，把数据库口令、密钥、登录凭证全部换一遍。

三是“常态化”：老旧系统和历史遗留资产要纳入日常安全管理，建起持续盘点、快速响应、风险清零的机制。

每日经济新闻