全球七成網站爆重大安全漏洞！AI協助發現 部分網站緊急下線

華爾街日報21日報導，支撐全球多達70%網站運作的PHP技術開發者當天披露一項重大安全漏洞。安全研究人員利用AI發現這項漏洞，駭客可能藉此控制任何執行PHP軟體的系統，進而竊取資訊，或對造訪遭入侵網站的使用者發動網路攻擊。

這項名為「PHP2Shell」的漏洞，涉及PHP管理電腦記憶體方式中的一類缺陷。駭客可透過多種方式利用漏洞，其中一些方法只需幾秒鐘，就能在尚未安裝修補程式的網頁伺服器上執行未經授權的軟體。安全公司Calif研究員奧斯汀（Ryan Austin）8月稽核PHP原始碼時，在OpenAI最先進模型之一GPT-5.6 Sol的協助下發現這些缺陷。

這類漏洞已在PHP原始碼中隱藏多年。Calif執行長泰當（Thai Duong）表示，數十年前就有研究人員指出相關程式碼可能存在問題，但當時認為缺陷太難利用，後來逐漸被遺忘。

然而，奧斯汀在AI協助下找到利用漏洞的方法。泰當8月11日致電PHP安全工程師杜許（Volker Dusch），告知「有一個嚴重的問題」。不久後，安全研究人員與軟體工程師組成非正式工作小組，並與軟體發行商及安全公司合作，研究如何修補PHP2Shell，防止漏洞遭到利用。

杜許表示，這是PHP十多年來面臨最嚴重的安全問題，堪比「心臟出血」（Heartbleed）漏洞。十多年前，這項同樣影響廣泛的漏洞曾迫使全球緊急採取行動，保護數十萬台伺服器。Google旗下網路安全公司Wiz共同創辦人盧特瓦克（Ami Luttwak）表示，PHP2Shell是「有史以來發現最嚴重的AI漏洞」，而且這項漏洞可能過於複雜，若沒有AI，恐怕無法被發現。

泰當與其他研究人員在修補期間嚴守秘密，以免駭客借助AI搶先發現並利用漏洞。然而，修補工程規模龐大，涉及將近200個檔案，開發人員為此編寫超過1萬行程式碼。修補程式原訂22日發布，但距離發布不到兩天，消息就透過Hacker News上的一篇貼文外洩。杜許的團隊決定加速推出修補程式，20日向全球發出警告，要求各界做好準備，預告隔天將發布重大安全更新。

杜許表示，這是在「告知防禦者」與「不給攻擊者太多時間開發漏洞利用方法」之間取得的「良好平衡」。由於先進AI系統可能迅速利用漏洞發動攻擊，網站管理員正緊急採取防護措施。一些政府及商業網站營運者表示，已預防性地讓網站下線，21日也開始傳出網路攻擊企圖的通報。

安全修補程式一旦發布，防禦者與駭客之間的競賽就正式展開。防禦者必須測試並安裝修補程式，駭客則研究修補內容，找出軟體變動之處，再設計攻擊方法。不過，安全專家表示，如今AI工具完成這些工作的速度遠快於人類，可能使整個過程更加危險。泰當說：「推特上隨便某個傢伙都可能拿到修補程式，利用AI分析，再發布一段漏洞利用腳本。到時候就會天下大亂。」