[技术] AI 审计一年，挖出 PHP 躺了 20 年的漏洞：多国政府连夜关站，不是因为被黑

10 月 21 日晚的关站潮很多人应该都看到了：芬兰政府关掉所有对外网络服务，荷兰国家网络安全中心连自己官网都撤了，鹿特丹港、荷兰足协、五大政党网站和多家医院紧随其后，法国内政部让各省政府网站下线，德国联邦 IT 服务商、比利时外交部、维基媒体基金会、任天堂也停了部分服务。

这些站不是被黑，是自己主动关的。原因是 PHP 的两个漏洞，合称 PHP2Shell，官方评分都是 9.2，watchTowr 直接打了满分。攻击者不用登录就可能控制整台服务器，而且问题出在最底层的内存管理上，与业务代码写得好不好无关。Cloudflare 说受影响版本一路追溯到十多年前的 PHP 5.4；严重程度被 PHP 基金会的 Volker Dusch 拿去和 2014 年的心脏出血相比。

更有意思的是它的年龄。首个发现它的安全公司 Calif 把源头追到 2004 年——那年 Stefan Esser 就发现过 PHP 内存耗尽时的同类问题；2020 年有人提交过相关报告，几乎没人理；2024 年一次第三方资助的审计又碰到它，但没能证明可利用，于是没修。独立研究者 Nick Rogers 给这种状态起了名字：**security by exhaustion**，靠攻击者累到放弃来保证安全。把这类漏洞做成能用的攻击，需要数周枯燥的手工调试，过去没人愿意付这个成本。

改变成本结构的，是 OpenAI 今年 6 月启动的 Patch the Planet：出钱出模型，请安全公司去审计全球依赖的开源软件。Calif 把目标定在 PHP，8 月 1 日研究者 Ryan Austin 带着 AI 开始审计。按 Calif 公开的技术文章，AI 在这里是审计搭档也是 agent，负责梳理内核代码、追踪执行路径，第一个漏洞的关键缺陷就是 agent 在内核代码里发现的。

接下来的 48 小时很混乱：消息在 Hacker News 和地下论坛泄出，官方被迫把补丁提前到 21 日 14:00 UTC；Cloudflare 的 CTO 在补丁发布前近六小时就观察到早期攻击；NSA、英国 NCSC、欧盟 CERT-EU 的建议几乎一致——来不及打补丁的系统，先下线。

这件事真正的分量，不在漏洞本身，在于「太费劲所以安全」这条从没写进教科书的潜规则，第一次被 AI 直接推翻。

原文链接：http://www.geekpark.net/news/372731
来源：极客公园