重庆证券配资网
一场波及全网的重大安全恐慌正在造成广泛混乱，促使企业、医院、学校及政府机构纷纷临时关闭网站和在线服务，以应对PHP编程语言中两个严重漏洞带来的威胁——而PHP正是支撑互联网大部分运行的基础语言。
这两个漏洞被统称为PHP2Shell，可能允许未经身份验证的攻击者在受影响的服务器上执行恶意代码。各大科技公司已迅速采取行动保护用户：Cloudflare部署了防火墙防护措施，Automattic确认其平台上托管的网站（包括WordPress.com、WordPress VIP和Tumblr）已得到安全保障。与此同时，维基媒体基金会将多个辅助服务下线，直至完成补丁修复。
PHP项目组周三发布了针对8.2至8.5版本的紧急修复。更早的版本已不再获得官方支持，不过部分发行版和供应商提供了遗留版本修复，PHP也为7.4至8.1版本发布了有限的补丁。
然而，尽管PHP漏洞本身就是一桩重大事件，但围绕其发现、修复和披露过程的种种细节，揭示出开源社区正面临日益加剧的压力——AI正让发现严重安全漏洞变得越来越容易。
"寻找PHP中的严重漏洞"：提示词式发现
即将发布补丁的消息于周二曝光，当时相关细节在原定披露时间之前就已泄露。次日，OpenAI透露安全公司Calif利用其GPT-5.6 Sol模型发现了其中一个漏洞，而谷歌旗下的Wiz也独立识别出了这两个漏洞。OpenAI表示，作为其"修补地球"（Patch the Planet）计划的一部分，公司花了两个月时间协调PHP维护者、安全研究人员、Cloudflare以及各国网络安全机构之间的响应工作。
这一协调工作却因软件供应链安全公司Chainguard在约定时间之前超过六小时发布了修补后的PHP容器镜像而被打乱。首席执行官丹·洛伦克在领英上承认这是他做出的决定，并指出Chainguard利用前沿AI模型及简单的提示词"寻找PHP中的严重漏洞"独立重新发现了该漏洞。
洛伦克为这一决定辩护，援引了相关攻击报告以及该漏洞易于被复现的特点。而PHP基金会则认为，提前发布可能会在其他供应商仍在准备补丁的情况下帮助攻击者。
"这无视了多方为协调披露所付出的数周努力，"该基金会指出。
PHP基金会董事会成员、Composer的创建者及联合维护者尼尔斯·阿德曼表示，"当时并没有确认的漏洞利用案例，"他补充说，任何被发现的活动都只是有人尝试利用漏洞而已。
"你在未与PHP团队进行任何沟通的情况下单方面做出的决定，既不负责任，也不专业。"
"此前存在明确的禁运期，直到披露和公开发布的时间点，这一安排在信息不断涌入的过程中被反复讨论和评估，权衡的是漏洞被利用的风险与在补丁尚未完善时就发布所带来的保护缺失之间的利弊，"阿德曼在回应洛伦克的帖子中写道。"你在未与PHP团队进行任何沟通的情况下单方面做出的决定，既不负责任，也不专业。正确的做法是道歉，而不是为自己明显的不当行为找借口。"
新常态
然而，这场PHP风波凸显出一个更大的担忧：AI正让发现安全漏洞变得越来越容易，其速度已经超过了负责修复漏洞的人员所能应对的能力。正如洛伦克自己所说："这不幸地已成为该行业的新常态。"
就在OpenAI披露消息的前一天，Anthropic发布的研究显示，Claude在25个开源项目（涵盖超过五百万行代码）中识别出了493个安全问题。其中一个配置缺陷已经存在21年未被发现，且有可能导致认证要求被禁用，从而允许未经授权的客户端访问本应受限的服务器。
尽管Anthropic的发现并非全部都是可被利用的漏洞，但这些结果凸显出一个日益严峻的问题：AI能够大规模发现安全弱点，但评估这些弱点并开发出可靠的修复方案，仍然需要时间和专业知识。
Akrites首席技术官、同时担任开源安全基金会（OpenSSF）首席技术官/首席安全架构师的克里斯托弗·罗宾逊表示，PHP紧急事件也提醒人们，在严重漏洞出现时做好应对准备至关重要。
"降低PHP2Shell等事件影响的最佳方式，就是提前为这类事件的发生做好准备和规划。"
"降低PHP2Shell等事件影响的最佳方式，就是提前为这类事件的发生做好准备和规划，"罗宾逊对The New Stack表示。"拥有漏洞管理流程，并清楚在问题变得过于复杂时可以求助于谁，这是开源项目和商业实体都能做到的最有效举措。"
当发现漏洞比修复漏洞更容易时
对于开源开发者工具Atuin（在GitHub上拥有超过32,000星标）的软件工程师兼首席技术官米歇尔·蒂利来说，为PHP所组织的这种紧急响应，对于规模较小的开源项目而言很难复制。
"这里的响应方式看起来更像是供应商级别的紧急应对，涉及联盟、政府机构以及Web应用防火墙（WAF）规则，"蒂利对The New Stack表示。"这种方式对PHP这样的项目行得通，但不会有人为一个鲜为人知、只有三名维护者的库组建联盟——即便这个库实际上被全球各地的软件广泛使用。"
"这种方式对PHP这样的项目行得通，但不会有人为一个鲜为人知、只有三名维护者的库组建联盟——即便这个库实际上被全球各地的软件广泛使用。"
蒂利表示，Atuin本身已经收到了越来越多由AI生成的漏洞报告和拉取请求。尽管她的公司拥有足够的工程资源来处理这些问题，但许多较小的项目依赖的是在业余时间无偿工作的维护者，这些人很容易不堪重负，最终选择放弃。
"这些开发者确实会，也确实正在精力耗尽，"蒂利继续说道。"有时他们会安排其他人来接手项目；但更常见的情况是，他们只是停止了对项目的维护，而下游使用者对此毫不知情。这正是许多项目最终带着永远无法修复的漏洞的原因。"
归根结底，她希望将更多责任分配给研究人员以及依赖这些代码的企业。
元股证券:ygzq.hk"没有单一的解决方案，但方向是明确的，"蒂利表示。"修复的成本必须向发现漏洞的人以及依赖该代码的公司转移。"
这种压力同样蔓延到了更大型的项目中。亚马逊云科技首席工程师、Valkey数据库维护者玛德琳·奥尔森表示，今年该项目发现并修复的安全漏洞数量也远超以往。
"最困难的部分已经从发现漏洞转变为修复漏洞，"奥尔森对The New Stack表示。"PHP就是一个很好的例子。"
一位PHP开发者最早发现本周其中一个漏洞背后的根本问题，是在修复开源技术改进基金（OSTIF）组织的2024年安全审计中发现的一个问题时意外注意到的。然而，解决该问题的尝试一度陷入停滞，因为提议的修复方案存在破坏兼容性、影响性能或扰乱第三方扩展的风险。据PHP基金会表示，能够权衡这些利弊并妥善解决问题的工程师寥寥无几。
"AI在发现漏洞方面正变得非常出色，"奥尔森表示。"但做出正确的修复仍然需要经验丰富的维护者，而这正是企业支持最为重要的环节。"
"AI在发现漏洞方面正变得非常出色。但做出正确的修复仍然需要经验丰富的维护者，而这正是企业支持最为重要的环节。"
为应对漏洞报告的大量涌入，Valkey正在收紧对安全漏洞的定义，利用AI检查自身代码，并简化回溯补丁和版本发布的流程。
Chainguard引发的争议也提出了一个问题：披露时限是否需要改变。奥尔森回忆道，曾有三位研究人员在同一周内各自独立地借助大语言模型报告了同一个Valkey漏洞。Valkey目前正朝着缩短禁运期的方向努力——不过这与打破已商定的发布日期是两件不同的事。
"如果你用大语言模型发现了一个漏洞，那么可以肯定的是，其他人也能发现它，"奥尔森表示。"这就意味着应该缩短禁运期、加快发布速度，Valkey目前正朝这个方向努力，这也是我们在大多数大型项目中看到的趋势。"
日益积压的安全问题
OSTIF执行董事德里克·齐默表示，无论是真实发现还是低质量报告，其数量都在不断增加，导致大量积压，维护者不得不耗费本就稀缺的工程时间，仅仅是为了判断哪些问题是真实存在的。
"维护者正被公众提交的海量漏洞报告淹没，这些报告中既有敷衍的垂水报告，也有真实有效的报告，若不花费大量时间去分类审查，几乎无法将二者区分开来。"
"2026年的现实是，发现严重漏洞比以往任何时候都更容易，而维护者正被公众提交的海量漏洞报告淹没，这些报告中既有敷衍的垂水报告，也有真实有效的报告，若不花费大量时间去分类审查，几乎无法将二者区分开来，"齐默对The New Stack表示。
为提供帮助，OSTIF正在试行一些举措，例如"V-LAT项目"，该项目将工程师嵌入到具体项目中，协助审查发现的问题并制定修复方案，同时帮助维护者改进报告处理流程。
罗宾逊同样强调了共享安全专业知识以及配备专门工程师来支持上游项目的必要性。他反驳了"暴露更多漏洞必然会让开源变得更不安全"这一说法，并指出这正是依赖这些代码的企业贡献修复方案的机会所在。然而，许多项目既没有资金，也缺乏独立应对的专业能力。
重庆证券配资网"大多数上游维护者本质上也是在以志愿者的身份参与项目，几乎没有预算、基础设施或配套工具的支持，"罗宾逊表示。"这里不存在'放之四海而皆准'的解决方案重庆证券配资网，我们需要采用多种并行的方式来应对，才能最大限度地争取到成功的结果。"
配资网提示：本文来自互联网，不代表本网站观点。
