在AI技术发现关键编程语言PHP存在“严重”漏洞后，世界各国政府正争相采取安全措施。相关报道称，自这些漏洞曝光以来，黑客攻击尝试有所增加。AI发现的PHP漏洞影响运行着约70%网站的软件，这就是为什么这一事件的意义远远超出了开发者和系统管理员的范畴。

你不需要了解PHP也可能受到影响。你每天登录、购物或阅读的网站可能都是基于它构建的。以下是我们目前所知的情况、其含义以及你可以采取的措施。

为什么PHP漏洞波及如此多的网站

PHP是一种服务器端编程语言。当你加载一个页面时，PHP通常在该网站服务器后台运行，以构建你所看到的内容、验证你的登录信息或从数据库中提取你的详细信息。由于它被如此广泛地使用，PHP本身的漏洞并不局限于某一个网站。它可能同时影响到互联网的很大一部分。

这就是担忧的核心所在。对此次发现的报道将这些漏洞（某些报道中被称为“PHP2Shell”）描述为能够让攻击者在受影响的服务器上执行代码和读取内存。报道还称，这一底层漏洞已存在超过十年，这意味着它在广泛部署的软件中多年未被发现。

语言层面的漏洞也与典型的网站入侵不同。修复它不是某一家公司的事。每一个运行PHP的网站所有者、托管服务提供商和组织都必须按照自己的时间表应用更新，有些会比其他的慢。

AI如何加速漏洞发现

这件事之所以引人注目，在于这些漏洞是如何被发现的。据报道，一家名为Calif的公司的研究人员使用OpenAI模型来识别问题，并在短短几天内发现了这些漏洞。安全团队长期以来一直在代码中搜寻弱点，但这项工作传统上既缓慢又耗费人力。

这一发现表明，AI能够多么迅速地帮助定位人类多年来审查却未能发现的代码漏洞。这对防御者来说是令人鼓舞的，因为同样的速度可以帮助在犯罪分子发现之前修复问题。但这也缩短了漏洞被披露与攻击者试图利用之间的窗口期。如果研究人员能如此迅速地找到漏洞，那么其他人——包括恶意行为者——使用类似工具也是可以预见的。

这种紧张关系正是各国政府迅速行动的原因。目标是在披露与修复之间的间隙被大规模利用之前完成补丁部署。

攻击者目前正在做什么

最重要的事实是，自漏洞披露以来，黑客攻击尝试有所增加。这遵循一种熟悉的模式：一旦漏洞公开，攻击者就会扫描互联网上尚未更新的网站，并探测其弱点。未打补丁的网站是最容易的目标。

报道还指出，PHP官方网站和其他几个组织也在暴露于这些漏洞的范围之内，这提醒人们，即使资源充足、安全意识强的团体也可能被此类问题波及。

值得对此保持理性看待。攻击尝试的增加并不意味着每个PHP网站都已被入侵。许多网站运营者会及时打补丁，许多攻击也会失败。但对于落后的网站来说，风险是真实存在的，而你通常无法从外部判断哪些网站属于这种情况。如需了解此事在更广泛威胁格局中的背景，请参阅我们的ThreatsDay汇总，该简报涵盖30多个独立的安全事件。

这对你意味着什么

你无法自己为网站的服务器打补丁，这正是令人不安的地方。当这样的漏洞存在时，你的数据安全部分取决于你使用的网站响应的速度。如果你依赖的网站被入侵，你的电子邮件地址、密码或其他账户信息等细节可能面临风险。

你所能控制的是，一个被入侵的网站能对你的其余数字生活造成多大损害。以下步骤可以限制这种损害，无论哪个网站受到影响。

普通用户可以如何保护自己的账户

  • 为每个账户使用唯一密码。 如果一个网站被攻破，唯一密码可以阻止攻击者在其他地方尝试相同的登录信息。密码管理器可以让这变得切实可行。
  • 开启双重认证（2FA）。 即使密码被盗，第二重验证步骤也会让人更难入侵。在可能的情况下，优先使用身份验证器应用而非短信。
  • 对钓鱼保持警惕。 此类事件往往会引发后续的诈骗邮件，声称你的账户受到了影响。不要点击意外消息中的链接。直接访问网站。
  • 留意数据泄露通知。 如果你使用的服务告知你受到了影响，请及时更改密码并查看账户活动。
  • 保持自己的软件更新。 浏览器、应用和设备也会获得安全修复，更新可以关闭攻击者依赖的入口。

要点总结

AI发现的PHP漏洞是安全竞赛正在加速的一个鲜明例证。帮助发现长期隐藏漏洞的同一技术也可能缩短攻击者行动的时间，这就是为什么政府和网站运营者正在争相应对。你无法修复PHP，但你可以让自己的账户变得更难被利用。从唯一密码开始，开启双重认证，并对意外的账户邮件保持怀疑。如需了解更多塑造当前局势的威胁，请阅读我们的ThreatsDay汇总，保持你的防御措施与时俱进。