全球70%网站都危险了

PHP爆发史诗级漏洞，“足够复杂就等于安全”的时代彻底结束了
昨天，安全机构 Wiz 联合 OpenAI 和谷歌，披露了一个名为 PHP2Shell 的史诗级漏洞。PHP 曾经支撑着全球超过 70% 的网站（比如 WordPress 和维基百科），这个无需认证就能远程执行代码的漏洞，瞬间让大半个互联网处于裸奔状态。
重点不是 AI 找到了漏洞，而是 AI 改变了漏洞利用的经济学。
这些底层缺陷在 PHP 核心引擎里已经潜伏了十几年，甚至以前就有人报告过苗头。为什么一直没爆雷？因为在过去，“发现缺陷”和“武器化利用”之间，隔着一道名为“复杂度”的天堑。
PHP 的这些漏洞属于内存安全问题。要利用它，需要将多个底层 Bug 串联起来，还要精确匹配目标服务器的内存布局。在没有 AI 的时代，哪怕顶级黑客写出了攻击脚本，只要目标网站的 PHP 版本、配置或运行环境有一点不同，脚本就会失效。针对每个目标重新调试内存偏移量，需要极高的人力成本。
因为“投入产出比”太低，这些漏洞在过去被认为是“实际上不可利用的”。
前沿大模型接管了最耗时、最枯燥的调试与适配工作。通过连接测试工具，AI 可以不知疲倦地分析报错、调整参数，在几小时内就为不同系统定制出可用的攻击链。
以前一个世界级团队要干几个月的脏活累活，现在一个研究员加 AI 一周就能搞定。复杂度，不再是软件安全的护城河。
换句话说，整个软件生态的攻防博弈已经彻底失衡。
一方面，开源社区的维护者将面临灭顶之灾。像 PHP 这样有着二十年历史的老旧代码库，里面必然还躺着无数个当年因为“太难利用”而被搁置的陈年旧疾。当 AI 开始不眠不休地翻旧账，靠用爱发电的开源组织根本招架不住。这次 PHP 团队收到报告后足足过了一个月才确认，就已经暴露出维护能力的捉襟见肘。
另一方面，网络安全正在变成巨头的算力游戏。Wiz 是谷歌旗下的，用的是谷歌和 OpenAI 的模型，联合防御的是 AWS 和 Cloudflare。普通开发者连补丁都还没捂热，漏洞细节就已经在补丁发布的同一天公开了。
那些没有云厂商护航、靠自己维护老旧 PHP 服务器的中小网站，在自动化运转的黑客 AI 面前，几乎没有任何还手之力。
我们不得不面对一个残酷的现实：全世界的数字基础设施，大多建立在几十年前编写的遗留代码之上。当 AI 把攻击的边际成本抹平，那些曾经因为“太难”而被我们忽略的技术债，现在到了集中连本带利偿还的时候了。