“AI正在逼我们还清40年的技术债！”一个两年没人修的老Bug，几天被AI挖成了「致命漏洞」：差点放倒全球近70%的网站

编译 | 郑丽媛

出品 | CSDN（ID：CSDNnews）

一个普通 Bug，放在程序员的待办列表里两年没人管，听起来似乎不是什么大事。毕竟，哪个软件项目没有一堆暂时修不完的小问题？只要不影响正常使用，很多 Bug 最后可能就这么被遗忘了。

但这次，情况有点不一样。

一个早在 2024 年就被发现的 PHP 内存错误，原本只被认为可能导致程序崩溃。没想到，今年在 AI 工具的帮助下，安全研究人员竟然从中挖出了一条攻击路径：黑客可以借此在服务器上执行任意代码，甚至直接控制服务器。

更麻烦的是，这次受影响的并不是什么冷门项目。NASA、维基百科、白宫等网站，以及大量使用 WordPress、Drupal 等技术搭建的网站，都可能受到波及——这就是前不久引发网络安全领域关注的PHP2Shell 漏洞。

对于这起事件，网络安全初创公司 Tolmo 的 AI 安全研究负责人 Matt Suiche 判断道：

“过去 40 年里由人类编写的所有遗留软件，其潜藏的 Bug 正在逐渐暴露出来。现在，是时候偿还这些技术债了。”

两年前没人当回事的 Bug，如今能让黑客控制服务器

先说说 PHP2Shell 是什么。PHP 诞生于 1994 年，最初是 Personal Home Page（个人主页）的缩写。

虽然如今各种新语言、新框架层出不穷，但PHP 依然支撑着大量互联网网站运行，WordPress、Drupal 等常见网站系统都离不开它——据W3Techs 的网站技术统计，如今 PHP 还是广泛使用的服务器端脚本语言，支撑全球约七成网站业务。

而这次的 Bug，就出在 PHP 自身的底层代码中。

早在2024年，研究人员就向 PHP 基金会报告过一个与内存不足（Out-of-Memory，OOM）有关的 Bug。简单来说，就是程序分配给某段数据的内存空间不够用了。通常情况下，这类错误会导致程序崩溃，虽然影响正常运行，但看起来并不会直接威胁系统安全。

所以，这个 Bug 一直没有得到足够重视。直到今年 7 月，在 OpenAI 发起的 Patch the Planet 安全计划支持下，网络安全公司 Calif对 PHP 展开了一次独立安全审计。

研究人员 Ryan Austin 借助 AI 工具，仅用了几天时间，就找到了这个内存错误背后的另一种可能性：攻击者可以利用程序处理异常时留下的问题，进一步操纵内存，最终实现远程代码执行（RCE）。

这下事情就完全不一样了：原本只是让程序崩溃的 Bug，现在却可能成为攻击者进入服务器的入口；一旦利用成功，攻击者就能执行恶意代码，读取敏感数据，甚至安装恶意软件。

随后，Calif 又发现了其他可利用路径，并将问题报告给 PHP 基金会。网络安全公司 Wiz 和 OpenAI 也参与了后续验证与分析。最终，这些问题被归纳为 PHP2Shell，涉及两个严重的远程代码执行漏洞：CVE-2026-109618 和 CVE-2026-109619。

Wiz 还在 WordPress、Drupal 和 Joomla 等常见网站应用上进行了验证，发现攻击者甚至可能在不需要身份验证的情况下发动攻击。换句话说，这不只是某个网站的配置不当，而是PHP 底层运行环境本身存在安全隐患。

AI究竟做了什么？把专家都嫌麻烦的活儿干了

一个问题随之而来：这个 Bug 已经存在两年，为什么此前没人把它挖掘成严重漏洞，AI 却能在短时间内找到突破口？

对此，哥伦比亚大学计算机科学副教授 Suman Jana 给出的解释很有意思：不是这个 Bug 有多么神秘，而是利用它需要做大量非常具体、非常繁琐的推理。

想要真正利用内存错误，研究人员必须弄清楚目标程序的内存布局，找到可以跳转的位置，再计算应该按照什么顺序覆盖哪些数据，才能最终控制系统——这就像发现一扇门没有锁，并不等于你马上就能进屋，你还得搞清楚门在哪里、怎么打开，以及进去之后应该如何行动。

而 Suman Jana 认为，AI 在这种需要反复分析和推理的任务上表现得相当出色。他表示，这并不是什么高深莫测的技术，只是需要大量令人头疼的细节分析，而 AI 恰好能很好地处理这些工作。

当然，他也强调，不能把这次成果简单归功于 AI 独立完成了漏洞挖掘：Calif、OpenAI 和 Wiz 的研究人员本身都具备丰富的网络安全知识和 PHP 技术背景，AI 更多是作为辅助工具，帮助他们更快地完成分析。

只是，效率上的变化已经相当明显。Suman Jana 表示，原本只有最顶尖的0.1%专家才能完成的工作，现在借助 AI，他们可以挖掘出更多问题；而那些距离顶尖水平还有一定差距的研究人员，也有机会借助 AI 参与更复杂的安全研究，不必事事都从底层细节开始摸索。

不过，这种能力也意味着，未来 Bug 被发现和利用的门槛也可能进一步降低。

找 Bug 只用了几天，修漏洞却花了两个月

发现 Bug 只用了几天，修复工作却远没有这么简单：PHP 基金会收到报告后，组织 4 名工程师投入了两个月时间，才完成相关补丁的开发和测试。

正如 Suman Jana 所说，发现 Bug 和修复 Bug 存在着根本性的不对称。发现 Bug，只需要找到一个能够突破系统防线的入口；但修复 Bug，必须确保所有相关攻击路径都被堵住，同时还不能影响软件原本的功能。

尤其对于 PHP 这样的开源项目，维护压力更大。

很多开源软件被全球大量企业和网站使用，却没有稳定的商业收入来源。维护者需要在有限的人力和资金条件下，长期承担安全审计、Bug 修复和版本维护工作。现在，AI 又进一步降低了Bug 挖掘的成本。攻击者能用更短时间找到更多 Bug，可维护者却不可能凭空增加人手。

对此，Jana 提出了一个建议：应该给防守方更多资源，让他们也能用最先进的 AI 模型。

目前，一些前沿 AI 实验室已经开始向安全研究人员提供 Token 额度，帮助他们寻找和分析 Bug。Jana 认为，这种支持应该进一步扩大，无论是行业联合行动，还是直接提供资金和算力捐赠，都值得鼓励。

不能只让攻击者拥有更先进的AI工具，防守方却还在靠人力一点点排查。

专家担心：真正严重的事故，可能还没来

对于 AI 能否彻底改变软件安全维护的现状，业内专家们并没有达成一致。约翰斯·霍普金斯大学计算机科学副教授 Matthew Green 就认为，在真正严重的安全事故发生之前，很多机构恐怕不会主动投入足够资源去解决这些问题。

在他看来，此次的 PHP2Shell 还没有严重到足以让所有人都警醒的程度。他甚至预测，2027年初可能会出现一次影响普通人的重大安全事件，届时企业和相关机构才会真正开始大规模投入资金。

而眼下，普通用户能做的事情其实很简单：及时更新软件。Matthew Green 特别提醒，如果手机或电脑弹出安全更新提示，不要想着下周再安装，应该尽快完成更新。

而 PHP2Shell 后续的发展，也说明这次事件并非虚惊一场。AWS 的安全蜜罐系统曾在10月17日捕获相关Bug的攻击尝试；10月26日，CISA 又把两个 PHP2Shell 漏洞加入已知遭利用的漏洞目录。

目前，PHP 已发布修复版本，包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。对于仍在使用受影响版本的网站管理员和开发者来说，及时升级已是当务之急。

HN 网友热议：AI是在帮我们还“技术债”，还是制造更多麻烦？

说到底，PHP2Shell 让人不安的地方，不只是一个老 Bug 突然变成了致命漏洞，而是它让我们看到了一个现实：过去几十年积累下来的代码，可能远没有我们想象中那么安全。

而且，这次被翻出来的是 PHP，下一次又会轮到谁？

以“AI 正在逼我们还清40年的技术债”为题，这件事最近在 Hacker News（HN）上引发了热议。截至发稿，相关讨论已经获得了 1305 个赞、749 条评论。不少开发者都在讨论同一个问题：

如果 AI 能把过去几十年遗留代码中的 Bug 一个个挖出来，软件行业究竟是迎来了安全新时代，还是要陷入一场永无止境的修 Bug 大战？

有人对此相当乐观。一位网友认为，AI 大规模挖掘漏洞，或许还能顺带揪出一些过去被国家级组织、商业间谍公司刻意隐藏的后门和零日漏洞（0-day）：“短期内，开发者可能要面对一大堆新披露的 CVE 和补丁，日子不会太好过；但从长远来看，软件生态反而会变得更加安全。”

还有人认为，既然 AI 未来可能会发现几乎所有 Bug，那么唯一合理的目标就是真正无缺陷的软件：借助 AI 和形式化验证，让代码的正确性能够被严格证明，或许才是最终出路。

不过，质疑声同样不少——有开发者提出了一个很现实的问题：每增加一行代码，都可能成为新的“技术债”。

人类会在“加这行”和“不做这个功能”之间做痛苦的权衡，但 AI 不会，它倾向于把东西都加上去。以近期的 Brotli 漏洞为例：一个实际上很少有人真正需要、甚至没有被业务使用的组件，却因为被广泛打包进各种软件和系统，最终让大量环境暴露在攻击风险之下——从 IIS 到 Caddy，都可能受到影响。

更有网友提出了一个十分尖锐的问题：AI 究竟是在帮我们偿还“技术债”，还是让我们进入了一条永无止境的修 Bug 生产线？不是所有技术债都能通过一个小补丁解决，很多问题涉及系统架构调整，甚至需要重新开发。

即使 AI 能不断发现和修复问题，可每一次较大的代码修改，也可能引入新的 Bug。而如果 AI 始终无法一次性生成真正可靠的软件，那么开发者就要不断重复「发现Bug —修复Bug —出现Bug —继续修复」的循环。

这场讨论，目前显然还没有答案。

但有一点值得我们认真思考：当 AI 能够轻松生成数千行代码时，我们是不是也应该更加谨慎地决定，哪些代码真的有必要存在？毕竟，AI 让写代码越来越便宜，但代码带来的维护成本和安全责任，并不会因此消失。

参考链接：https://spectrum.ieee.org/ai-in-cybersecurity-php2shell-vulnerability

https://news.ycombinator.com/item?id=50364336

AI 训练越来越烧钱，瓶颈真的只是算力不够吗？

⏰11月11日（周三）19:30-21:00，CSDN「AI进化论」直播，聚焦 Agent 后训练的基础设施挑战！

七成算力花在推理上，训练和推理还要分开吗？
千万个沙箱同时运行，卡住训练的究竟是什么？
不靠万卡集群，普通硬件能否撑起大模型后训练？

直播专属福利
扫码免费领取「2026 Agent 核心技术演进与实战资料包」！

现在报名，更有机会获得 AI 技术好书！

扫描海报二维码，立即预约直播！