GPT挖出PHP世纪大漏洞，人类屎山代码的大清算开始了

　　全球后端程序员估计天都塌了。

　　研究员借助GPT等AI模型，挖出了一个危险等级高达9.2分的重大漏洞，搞得全球大量网站紧急排查、打补丁。

　　谁能想到，闹出这么大动静的漏洞，两年前就有人发现了，只是一直没搞定。结果这次研究员带着AI重新挖了一遍，直接证明黑客真能借此攻进服务器。

　　这下好了，全球网站管理员集体加班。

　　一个Bug，全球加班

　　这次漏洞一曝光，大半个互联网都跟着忙活起来了。

　　美国的4chan、DeviantArt临时下线，连维基百科背后的维基媒体基金会，也紧急关闭了部分服务。

　　日本那边更热闹，Niconico动画、pixiv、《赛马娘》《碧蓝幻想》等大家熟悉的平台和游戏，也纷纷进入紧急维护。

　　不光是娱乐网站，欧洲不少公共服务平台也受到了波及。荷兰、芬兰、法国的部分网站直接暂停服务，英国国家网络安全中心甚至建议，来不及修补漏洞的系统，不如先关掉再说。

　　好家伙，一个漏洞，搞得大家集体停服打补丁。

　　连Cloudflare这种给全球大量网站提供网络安全服务的公司，都提前部署了专门的防护措施。

　　到底是什么漏洞，能把互联网折腾成这样？

　　漏洞捅到大动脉了

　　罪魁祸首，就是一个叫PHP2Shell的重大安全漏洞。

　　PHP可能很多人没听过，但你每天上网，基本都绕不开它。比如大家熟悉的维基百科，背后就大量使用PHP。平时登录账号、搜索内容、提交订单，很多网站都是靠PHP在后台处理。

　　全球能识别出后台编程语言的网站里，差不多每10个就有7个在使用PHP。这次的漏洞，算是直接出在互联网的大动脉上了。

　　而且一查就是两处严重问题。

　　第一处，PHP处理网站请求时，如果突然遇到内存不足，部分数据还没准备好，程序就继续拿来用。

　　第二处更离谱，有些内存明明已经释放了，PHP却还留着旧记录，下一个请求来了，居然还照着旧记录继续访问。

　　这些错误平时可能只是导致程序崩溃，但一旦被黑客利用，麻烦就大了。

　　在特定条件下，黑客甚至不用注册账号，也不用知道密码，就能让网站服务器执行自己的指令。

　　比如你开了一家网店，黑客可能直接读取服务器里的数据库密码、篡改网站内容，甚至植入恶意程序。

　　还有一种攻击更吓人，黑客甚至能直接读取服务器内存里的数据，把账号密码、API密钥等敏感信息偷走。

　　更坑的是，网站开发者可能啥也没做错。因为漏洞出在PHP本身，只要网站运行的PHP版本和配置满足攻击条件，就可能中招。

　　而且部分漏洞甚至能追溯到十几年前的PHP 5.4，从多年没更新的老网站，到使用较新版本的网站，都可能受到影响。

　　难怪这么多网站忙着停服、打补丁。互联网大量网站共同依赖的软件出了这么大的安全问题，这谁还睡得着觉啊。

　　一个AI卷翻安全团队

　　你可能会问，这么严重的问题，藏了十几年，怎么现在才发现？

　　其实早在2024年，PHP维护团队就发现了相关异常，但一直没搞清楚，这些问题到底能造成多大的破坏。

　　因为这活靠人工干，实在太折磨了。

　　程序员得埋头翻大量底层代码，找出哪里出了问题，再一遍遍写测试、运行、调试。好不容易发现点线索，换个版本可能又不管用了，只能继续折腾。忙活几个月，可能最后只证明程序会崩溃，至于黑客能不能利用它干点更严重的事，还是一头雾水。

　　再加上修复牵涉性能、兼容性，PHP团队就这么一直没能彻底解决。

　　结果今年，研究员带着GPT-5.6 Sol来了。

　　研究员凭经验给AI指了个方向，让它重点检查PHP处理内存异常的代码。AI沿着线索分析、测试，研究员再不断验证，最终找出了能让黑客远程执行代码的攻击路径。

　　为啥人干起来这么费劲，AI干起来就这么轻松呢？

　　因为代码研究有个AI特别擅长的地方：可以快速验证。

　　猜一条路可能有问题，就写代码试试。跑不通，看看哪里错了，改完接着跑。AI能把这套流程反复执行，试完一条再试下一条，不断筛选、调整，而且可以多个线路并行跑，效率能不快吗？

　　过去需要顶级安全团队花几个月完成的研究，现在一个研究员带着AI，大约一周就能搞定。

　　古法编程真该退场了

　　PHP都发展30多年了，底层代码经过无数程序员的检查和维护，结果AI一上手，还是经不起查。

　　那其他运行了十几年、几十年的老系统呢？里面还藏着多少Bug，堆了多少没人敢碰的人类屎山代码？

　　以前经常听程序员吐槽AI写的代码不够优雅、不够规范。

　　但人写出来的代码，真有那么值得迷信吗？

　　很多老系统能稳定运行，不代表代码质量有多好。可能只是那些复杂的情况，过去没人有精力一项项测试。时间久了，代码越堆越多，谁也不敢轻易动，最后连原来的开发者都未必搞得清楚。

　　发现问题也头疼。改一处可能影响十处，光是搞明白修改会牵连哪些功能，就得折腾很久。真要人改，大量程序员的时间，实际上都得耗在理解旧代码、排查问题和反复调试上。

　　现在AI连写代码、找Bug、调试都能干，程序员还非得一行行自己敲，多少有点跟自己过不去了。

　　古法编程的老手艺，真没必要再当成宝贝供着了。

　　另外，企业那些花大价钱搭建的老系统，是不是也该用AI重新做一遍了？

　　而且系统要重构，围绕系统建立的流程、岗位和组织也得跟着变。这不是简单装几个AI工具，而是整个企业工作方式的重构。