PHP底层漏洞遭AI“开盒”，美网安局下达三日最后通牒

【科技24时区】距离补丁发布不足一周，美国网络安全和基础设施安全局（CISA）便拉响了最高级别的警报。这家联邦机构已正式确认，黑客正利用一对存在于广泛使用的PHP Web软件中的关键安全漏洞进行活跃攻击，并勒令美国民用联邦机构必须在未来三天内完成系统修复。这并非一次寻常的例行维护，而是一场与时间的赛跑。

作为支撑互联网半壁江山的古老技术栈，PHP拥有约70%的市场占有率，这意味着全球大量主流网站和应用正处于风险敞口之中。这两个被称为“PHP2Shell”的漏洞，允许黑客无需密码即可远程侵入易受攻击的系统。其严重程度被评级为“危急”，一旦得手，后果不堪设想。事实上，在CISA发出警告之前，部分政府机构和大型科技公司已采取极端措施——直接将其相关网站下线，以换取宝贵的修复窗口期。

值得注意的是，这场危机的爆发点颇具讽刺意味。这两个漏洞早在两年前就被发现，当时负责维护该软件的公益基金会曾评估认为，黑客缺乏实际利用手段，因此未予紧急修补。然而，局势在今年初发生了逆转。加州一家安全研究公司的研究人员利用人工智能模型辅助，成功找到了激活这两个休眠漏洞的方法。这一事件揭示了一个令人不安的趋势：随着AI模型在识别和组合多个缺陷方面能力的提升，那些长期被忽视或优先级较低的陈旧代码，正迅速转化为高危隐患。

尽管安全研究人员指出，最初开发有效的利用工具极具挑战性，但如今“野外”利用证据的出现，彻底打破了这种侥幸。恶意组织不再需要从零开始构建攻击链，AI降低了 exploitation 的技术门槛，使得针对脆弱系统的破坏、服务中断和数据泄露变得触手可及。

更深层次的问题在于，PHP等许多维持现代互联网运转的老旧Web技术，长期处于资源匮乏和资金不足的境地。开源项目难以负担全面的安全审查费用，导致缺陷未能被尽早发现。当AI成为黑客的“加速器”，而开源社区却无力提供相应的防御算力时，整个数字基础设施的韧性面临着前所未有的考验。这三天的倒计时，不仅是对行政效率的测试，更是对全球软件供应链安全底线的拷问。