AI掘出潜伏12年的PHP史诗级漏洞：多国政务系统连夜关站断网防守

AI挖出藏了十年的底层漏洞，多国政府连夜关站拔网线。

全球将近 70% 的网页服务器，底层都在跑同一个语言：PHP。 维基百科在用，BBC 在用，成千上万个政府办事大厅也在用。

这次被翻出来的漏洞，代号叫 PHP2Shell。 安全评分直接给到了 9.2，甚至有机构打出了 10 分满分。 攻击者不需要任何账号密码，只要在外面发一个恶意请求，就能在目标服务器上随意执行代码，接管整台机器。

比破坏力更让人冒冷汗的，是它藏匿的时间。 整整十二年。 从 2012 年发布的 PHP 5.4 开始，这个破绽就一直在。

十二年里，全世界顶尖的安全专家和黑客逐行审过 PHP 源码，为什么没人发现？ 因为要触发它，条件太刁钻了。 得先绕过一层内存边界，再把一串特定编码塞进解析流程，中间要串联好几道复杂的逻辑跳板。 人类工程师扫过去，每一行代码合规合法，拆开看都像正常逻辑，拼在一起却成了一把万能钥匙。 靠人脑去穷举这种跨模块的多步利用链，成本高到几乎不可能。

结果云安全机构 Wiz 和 OpenAI 把前沿 AI 模型放进去。 几个小时。 AI 把这套人类找了十二年没摸透的利用链条，完整拼了出来。 Wiz 安全团队把它定性为 AI 技术发现过的“最严重漏洞”。

警报一拉响，美国 NSA 和英国 NCSC 紧急催促修补。 法国、芬兰、荷兰等国家的公共政务系统，怕在修好前被攻破，干脆连夜把网站暂时切离公网。 BBC 的部分节目页面和维基百科的一些模块，也紧急进入黑屏维护。

紧急补丁已经发出来了，只要升到最新版本就能防住。 但真正让安全圈睡不着觉的，是挖掘漏洞的游戏规则变了。

以前找这种史诗级零日漏洞，靠的是顶级白帽黑客对着汇编熬上几个月的人肉推演。 现在 AI 只要吃透代码逻辑，几小时就能把埋藏十多年的隐秘路径全挖出来。

这一次，是防守方先拿到了 AI 探测器。 要是下一次，攻击方手里的模型更快一步呢？ 留给系统管理员的反应时间，已经被压缩到了按小时算。