AI翻出14年老漏洞，7成网站为啥补不上？

凌晨三点的告警、群里刷屏的“请尽快升级”、还有一堆看不懂的版本号——最近不少运维同学都在经历同一件事。

不用登录、不用密码，黑客发一个请求，就可能接管全球约七成网站的服务器。

更让人紧张的是：补丁还没正式落地，第一波攻击已经在路上了。

🔓 一、一个请求就能进门，这次不是段子

⚠️ 两个“严重级”漏洞，评分都是9.2

这两天，PHP 被曝出两个非常严重的漏洞，官方编号是 CVE-2026-109618 和 CVE-2026-109619，评分都是 9.2，属于“严重”级别。

先说说 PHP 是个啥。它平时藏在服务器后台，负责把数据库里的文章、商品、用户信息拼成网页，再端给浏览器。WordPress、Drupal、Magento 这些撑起大量网站的产品，底层都靠它运行。换句话说，你每天刷到的很多页面，背后都有它的影子。

💡 门禁还没起作用，后门已经开了

在特定条件下，攻击者无需登录，只需要发送一个请求，就能在业务代码运行前直接拿到服务器的执行权限。

打个比方：大楼的门禁还没起作用，后门已经开了。听起来像科幻片，但这就是这次事件的真实情况。

这事和我们有什么关系？你注册过的账号、下过的订单、填过的表单，很多都存在这些服务器里。对负责运维的同学来说，这几天大概率要在“升级”和“稳”之间反复权衡。

🕵️ 二、藏了14年的雷，被AI翻了出来

🌟 这次先看出问题的，是AI

二十多年来，无数开发者、安全研究员反复审计过 PHP 的代码。一个被如此盯防的软件，怎么还能在眼皮底下藏一个 14 年的雷？

答案有点出人意料：这次帮忙挖出漏洞的，是人工智能。

OpenAI 在公告中确认，安全公司 Calif 使用 GPT-5.6 Sol 发现了 PHP 的关键漏洞；Wiz Research 也独立发现并报告了相关问题，研究中用到了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol。

💡 它是怎么找到的？

在研究员的带领下，GPT-5.6 Sol 审核了 PHP 的底层代码，发现存在“数据只写了一半，却被当成完整数据”的异常路径。

接着，研究人员把这条线索整理成可复用的审计规则，继续往下查，又发现了第二个问题。链条就这样一环一环被串了起来。

🌟 AI让“发现”变便宜了

这件事的意义，不止于“AI 找到了一个 bug”。PHP 已经运行了十几年，很多代码在当年是够用的，只是按今天的安全标准重新看，显得有些过时。

AI 把这种沉睡的风险加速翻了出来，也让防御方抢在攻击者之前，拿到了一个时间窗口。

但新的问题也随之而来：如果 AI 能帮好人更快发现漏洞，它是不是也能帮坏人更快利用漏洞？

🛠️ 三、真正的难关，其实在补丁之后

⚠️ 抢修最后48小时，信息先漏了

这场本该保密两个月的抢修，最后 48 小时却出现了意外。

综合多方信息看：先是有匿名帖放出漏洞的 CVE 编号，并得到 PHP 官方确认；之后安全公司误发了攻击演示视频，视频被删，但副本已在全网扩散；再之后，有软件供应链安全公司提前发布了含修复的构建镜像，等于把漏洞位置提前递到了攻击者手里。

补丁还没正式落地，第一波攻击已经上路。而 OpenAI 甚至预告：这次爆出来的，只是开胃菜。

💡 不是修不修，而是能不能修

PHP 官方已发布的几个修复版本中，PHP 8.1 及更早版本不能获得正式更新，只能靠源码补丁或发行版回补。

也就是说，很多网站的困境不是“修不修”，而是“能不能修”“修到哪一步”“修完会不会把业务搞崩”。

漏洞被发现只是第一关。真正难的是后面那一长串：资产清点、版本兼容、测试验证、灰度升级、重启进程、确认旧进程是否还在跑。AI 把发现漏洞的速度拉满了，但修复这件事，仍然卡在组织、流程和旧系统里。

⚠️ 一个被搁置的难题

其实这两处漏洞并不是今天才被发现。PHP 基金会表示，CVE-2026-109618 的线索，最早出现在 2024 年 PHP 项目的一次外部安全审计中，当时已有核心开发者注意到了相关隐患。

为什么迟迟没修？基金会的说法是，多种修复方案各有代价：有的可能破坏向后兼容，有的可能引入新的拒绝服务风险，还有的需要协调大量第三方扩展。修复工作因此停了又启、启了又停，问题被搁置了下来。

更大的矛盾在于：全球不少商业公司、创业团队都在免费使用 PHP 这类开源软件打下的地基，可地基的维护，长期压在一小批志愿者和并不宽裕的资金上。

PHP 基金会曾多次公开呼吁：那些靠开源获得收益的公司，能不能拿出与依赖程度相匹配的投入？去年 9 月，Java、Python、PHP、Rust、Eclipse 等基金会还联合 OpenSSF 发布声明，提醒商业用户：开源基础设施并非免费，长期免费使用不可持续，商业用户理应为基础设施付费。

📝 写在最后

AI 让“发现漏洞”变得前所未有地快，却没法自动解决“修复漏洞”这件最费人力的事。补丁要不要打？打了会不会出事？由谁来审？老系统迁不迁移？每一步都需要组织和人来做决策。

所以你看，技术跑得再快，最后还是要回到那个朴素的问题上：谁来付钱，谁来担责，谁来为那些早已无人维护的系统兜底？

一句话记住：AI 把发现问题变便宜了，但把修好问题，还是原样留给了人。

最后想问问你：你所在的团队遇到这类高危漏洞，一般多久能完成升级？评论区聊聊。

如果这篇对你有用，点个赞、转发给负责运维的同事，也许能帮他少熬一个夜。