NSA警告PHP存在两个潜伏二十余年的高危漏洞，补丁已发布
NSA称若无法立即修补应暂时下线站点；OpenAI与谷歌Wiz分别用AI模型发现漏洞，PHP基金会已发布补丁，当前版本为8.5.12。
AI解读：NSA建议无法立即修补的网站暂时下线，因为漏洞可让攻击者侵入服务器文件系统或Web应用使用的数据库。
漏洞存在于自2004年发布的PHP 5以来的所有版本中；PHP 8.1及更早版本已停止支持，需要先升级到受支持版本，推荐升级到当前版本8.5.12。
漏洞由AI辅助发现：OpenAI称安全测试公司Calif在其“Patch the Planet”计划中用GPT-5.6 Sol找到一个漏洞；Wiz团队用其Wiz Atlas安全AI代理、Gemini 4 Argon和GPT-5.6 Sol发现多个PHP漏洞。双方均先与PHP协作修复再公开披露。
OpenAI表示漏洞由研究人员先于黑客发现，目前没有在野利用报告，部分原因是这类漏洞在AI出现前难以被利用。Wiz则警告大语言模型可帮助将漏洞利用适配到不同PHP版本、配置和内存布局，公开披露后修补竞赛已经开始。
WordPress声明该漏洞并非WordPress特有，但使用该CMS的站点仍需修补服务器，并与托管商协作确认防护到位。Wiz感谢Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft和Vercel参与协作。
美国国家安全局（NSA）周三发出警告，PHP中存在两个高危漏洞，PHP基金会已发布补丁。NSA称，若网站无法立即修补，应暂时从网上撤下，直到完成修补。
据TechCrunch报道，PHP是广泛用于Web应用的服务器端编程语言，支撑约70%的网站，按某些统计超过3300万个站点，WordPress等流行内容管理系统也依赖它。
漏洞范围与修补要求
NSA称，这两个漏洞可让攻击者侵入服务器的文件系统，或侵入Web应用可能使用的数据库。漏洞存在于自2004年发布的PHP 5以来的所有PHP版本中。
PHP 8.1及更早版本已不再受支持，运行这些版本的网站需要先做升级工作。建议将Web服务器升级到当前PHP版本8.5.12。
AI如何发现漏洞
OpenAI在一篇博客文章中披露，安全测试公司Calif参与其“Patch the Planet”计划，使用GPT-5.6 Sol发现了其中一个漏洞。
Wiz团队则使用其Wiz Atlas安全AI代理、Gemini 4 Argon和GPT-5.6 Sol，发现了PHP中的多个漏洞。
OpenAI和Wiz均遵循负责任的安全研究做法，在公开披露前与PHP方面合作开发补丁，随后共同完善发现并测试补丁，还引入多方协助。Wiz感谢Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft和Vercel。
利用风险与WordPress的说明
OpenAI表示，这些漏洞由研究人员先于黑客发现，因此没有在野利用报告。报道称，部分原因是AI出现之前这类漏洞对黑客而言过于难以利用。
Wiz在其博客中警告：“有了AI，这不再是障碍。大语言模型可以帮助将漏洞利用适配到不同的PHP版本、配置和内存布局。”
WordPress已发表声明称，该漏洞并非WordPress特有，但运行该CMS的站点必须修补服务器，并与网站托管公司协作以确保站点受到保护。