PHP重大漏洞致全球网站停服，AI挖出老系统安全隐患

当PHP都被爆出重大安全漏洞时，那些运行了十几年的老系统，又藏着多少未被发现的隐患？

全球后端开发人员近期陷入紧张：借助AI模型，研究员挖出了一个危险等级高达9.2分的重大漏洞，这一漏洞直接引发全球大量网站紧急排查并修补补丁，不少后端从业者感叹“天都塌了”。

谁能想到，这个引发全球震动的漏洞，早在两年前就被人发现，但一直未能确认其具体危害，直到本次研究员带着AI重新分析，才证实黑客可借此攻入服务器，这也导致全球网站管理员集体加班。

一个Bug，全球加班

漏洞曝光后，大半个互联网都跟着忙碌起来：美国的部分论坛和艺术社区临时下线，维基百科背后的相关机构也紧急关闭了部分服务；日本的多个娱乐平台和游戏纷纷进入紧急维护；欧洲不少公共服务平台也受到波及，部分网站直接暂停服务，当地网络安全机构甚至建议，来不及修补漏洞的系统可先暂停运行。

就连为全球大量网站提供安全服务的厂商，也提前部署了专门的防护措施，以应对这一漏洞带来的风险。

漏洞捅到大动脉了

这一漏洞的罪魁祸首，是名为PHP2Shell的安全问题。很多人可能对PHP并不熟悉，但日常上网几乎都绕不开它：像维基百科这类平台，就大量使用PHP处理用户请求、搜索和订单提交等操作。据统计，全球使用PHP作为后台语言的网站，每10个里就有7个，这也意味着这次漏洞直接影响了互联网的“大动脉”。

该漏洞包含两处严重问题：第一，PHP处理网站请求时，若遇到内存不足，部分未准备好的数据会被直接使用；第二，部分已释放的内存，PHP仍保留旧记录，新请求到来时会继续访问旧内存。这些问题平时可能只会导致程序崩溃，但被黑客利用后，后果不堪设想：黑客无需注册账号或密码，就能让服务器执行自己的指令，比如读取数据库密码、篡改网站内容、植入恶意程序，甚至窃取账号密码、API密钥等敏感信息。

更棘手的是，漏洞并非由开发者代码错误导致，而是PHP本身的问题，只要网站运行的PHP版本和配置满足条件，就可能中招，且影响范围从十几年前的旧版本到较新的版本都有涉及。

一个AI卷翻安全团队

有人会问，这么严重的问题藏了十几年，为什么现在才被发现？其实早在2024年，PHP维护团队就发现了相关异常，但由于人工排查底层代码、测试和验证的过程过于繁琐，且修复会影响性能和兼容性，一直未能彻底解决。

人工排查需要程序员埋头翻大量底层代码，找出问题后反复写测试、运行调试，过程中可能换个版本就失效，忙活几个月也未必能确认漏洞的可利用性，效率极低。而今年研究员借助AI模型，仅用一周就完成了顶级安全团队数月的工作：研究员给AI指明方向，AI沿线索分析测试，研究员再验证，最终找出了远程执行代码的攻击路径。

AI的优势在于能快速验证猜想，反复执行测试流程，并行处理多条线索，效率远高于人工。

古法编程真该退场了

PHP发展了30多年，底层代码经过无数人检查，仍被AI挖出漏洞，那其他运行十几年、几十年的老系统呢？里面藏着多少未被发现的Bug，堆着多少没人敢碰的代码？

以前常有人吐槽AI写的代码不够优雅，但人写的代码真的值得完全迷信吗？很多老系统能稳定运行，不代表代码质量好，只是过去没人有精力全面测试复杂情况，时间久了代码堆积，没人敢修改，甚至原开发者都未必清楚全部细节。

修改老代码更是难题，改一处可能影响多处，需要耗费大量时间理解旧代码、排查关联问题和调试。如今AI能完成写代码、找Bug、调试等工作，仍坚持一行行手动编程，多少有些不合时宜。古法编程的模式，或许没必要再当成必须遵循的标准。

此外，企业花费大量成本搭建的老系统，是否也该考虑用AI重新构建？系统重构不仅涉及技术，还需要调整围绕系统的流程、岗位和组织，这不是简单安装AI工具，而是整个企业工作方式的重构。

这几年我们在AI转型过程中踩了不少坑，也摸索出了一套方法。10月30日，我们会在上海举办线下分享活动，从认知、管理到实操，分享这些年的实践经验。如果你是企业管理者，正在探索如何将AI应用到业务和组织中，欢迎参与，带着真实问题现场交流。