上周出现了一系列严重和关键的软件漏洞，影响了成千上万的主要网站，并让人们陷入恐慌。这究竟发生了什么，我们该如何应对？漏洞如果我们想要理解当前软件安全领域发生了什么，我们需要了解这些漏洞的情况。我不是网络安全专家，因此我将链接到外部解释，而不是自己深入技术细节，因为这些人总是会做得更好。PHP2Shell – CVE-2026-109618 和 CVE-2026-109619（又称“新闻中的大事”）来自加州安全公司Calif和以色列-美国云安全公司Wiz（显然，他们是谷歌云的一部分）的两个不同安全团队都发现了这两个PHP中的远程代码执行（RCE）漏洞。他们都使用前沿AI模型（即LLMs，特别是GPT-5.6 Sol/Gemini 4 Argon）来发现这些漏洞并构建利用方法。有趣的是，一个漏洞（CVE-2026-109618）是在2024年PHP基金会进行的安全审计中发现的（由主权技术机构资助，这恰好是目前开放源代码领域中最有趣的事情之一），但他们基本上忽视了它，因为他们面临更大的担忧，并且无法达成修复的共识。背后的原因是，没人真的能够弄清楚如何基于理论问题创建实际的利用方法。LLMs非常擅长的是将理论安全漏洞（即使这个漏洞只是对问题可能是什么的模糊描述）构建成完整的利用方法。最近几个月，这已经成为一个主要问题，因为任何安全补丁的通知都会立即导致人们将他们的LLMs指向代码库，接着代理就能非常快速地阅读差异，直到他们找到看起来像安全补丁的东西，然后追溯到它所涵盖的漏洞，最终找到利用方法。实际上，这个过程发生得非常快，我认为，在你宣布安全补丁的那一刻，可以合理地认为这是发布完整利用不再被公开或私下分发的最后可能日期。据估计，这个PHP2Shell（按照市场营销的说法，漏洞似乎是和他们自己的市场部门一起捆绑的）影响了超过70%的互联网，从维基媒体基金会到DeviantArt，再到英国政府的大部分网站和日本银行系统，以及《叛徒》BBC节目的官方网站上数千个网站。漏洞确实会被发现，但它们通常不会导致互联网的一半关闭服务器，那么发生了什么呢？为了理解这一点，让我们看一下PHP集团的原始帖子：一个叫petecooper的人在Hacker News上关于CVEs发帖，显然不知道甚至有禁令。因此，这个（以及其他明显的泄露）促使PHP集团仓促发表声明，并将补丁的发布日期从星期四22日提前到星期三21日。然而，该补丁直到第二天才会发布。这次无意的泄露包括CVSS得分为10.0（即糟糕，尽管奇怪的是，实际得分是9.2）。几乎立即，这条消息像野火一样传播开来，人们开始恐慌。尽管这是由“负责任的安全研究人员”和“受人尊敬的公司”发现的，但到安全补丁实际发布时，暴露已经在实际环境中被利用了。PHP基金会指责Calif和一家叫Chainguard的公司，称Calif泄露了一段利用视频（配有奇怪的背景音乐和跳舞的动漫女孩），而Chainguard在禁令解除前6小时发布了修复方案，这都让攻击者抢先于系统管理员。时间线令人困惑，但看起来似乎有多个相互关联的事情在约17小时内出了问题。关于AI是否真的改变了计算机安全的游戏这一点，已经进行了许多讨论。主要的AI公司（而且它们确实很大）显然希望你这样认为。有些人争辩说PHP2Shell被夸大了，因为LLMs往往对漏洞过于敏感，得出一些基于不好的假设的“利用方法”（例如，服务器将运行您通过某种现有文件包含漏洞上传的PHP代码）或以某种方式作弊。正如LiveOverflow所指出的，LLMs使得创建没有任何证明且无效的利用变得非常容易，但这并不意味着漏洞不真实且容易通过AI进行利用。你可以有10,000个无效的低劣利用，但如果有一个能够成功，那才是最重要的。也许我们只需要习惯于在低劣的利用方法中寻找重要的东西。