AI破译PHP十四年沉疴，漏洞修复却陷“开源困境”

【科技纵览】无需账号密码，仅凭一次请求，黑客便能远程操控全球七成网站的服务器核心。近日，互联网基石语言PHP被曝出两项高危漏洞（CVE-2026-109618、CVE-2026-109619），其严重性评分均达9.2。这意味着，在业务代码启动前，攻击者即可直接获取服务器执行权限，犹如大楼门禁形同虚设。更令人脊背发凉的是，这场原定保密两个月的抢修行动，在最后48小时彻底崩盘：匿名帖率先泄露CVE编号并获官方确认；安全公司Calif误发的演示视频虽被删除，但副本已全网扩散；软件供应链公司Chainguard甚至提前发布了含修复的镜像，等于将攻击路径拱手让人。补丁未至，第一波攻击已上路。OpenAI在公告中坦言，此次披露仅是“开胃菜”。

挖掘这些隐患的并非传统人工审计，而是GPT-5.6 Sol等人工智能模型。OpenAI证实，Calif利用该模型审核PHP底层代码，发现了“数据只写一半却被视作完整”的异常逻辑路径，进而梳理出可复用规则，最终锁定第二个问题。Wiz Research亦独立发现相关问题，其研究过程中综合使用了Wiz Atlas、Gemini 4 Argon及GPT-5.6 Sol。这一发现揭示了AI在安全领域的双刃剑效应：它既加速了沉睡风险的曝光，为防御方争取时间窗口，也大幅降低了黑产利用漏洞的门槛。

然而，漏洞的发现只是开端，真正的痛点在于修复。PHP基金会承认，CVE-2026-109618的线索早在2024年外部审计中就已出现，但迟迟未修被视为“结构性失败”。多种修复方案面临两难：破坏向后兼容性、引入拒绝服务风险或需协调大量第三方扩展，导致工作反复搁置。对于使用PHP 8.1及更早版本的用户而言，官方并未提供正式更新，只能依赖源码补丁或发行版回补，这引发了关于“能否修”、“修哪步”以及“是否搞崩业务”的深层焦虑。

从某种角度看，事件折射出开源生态的长期矛盾。全球商业巨头免费享用PHP等开源地基，但其维护长期依赖志愿者与有限资金。去年9月，Java、Python、PHP、Rust等基金会联合OpenSSF发声，强调“开源基础设施并非免费”，呼吁商业用户付费以维持可持续性。AI虽然让“发现”变得廉价，但“修复”仍昂贵且依赖组织决策。当算法能瞬间定位问题，谁来承担兼容风险？谁为无人维护的系统兜底？这才是互联网难以真正修补的短板所在。