与 AI 相关的两个漏洞导致今天 4chan、DeviantArt、维基百科，以及博客（酒吧旁边发布人们狗狗图片的地方）出现重大问题。这些“关键漏洞”是在支持大部分互联网的 PHP 编程语言中发现的，包括任何使用 WordPress 构建的网站。但问题远非如此。有些荷兰和芬兰的政府机构出于谨慎措施而关闭了他们的网站。美国国家安全局 (NSA) 的网络安全账号在 X 上建议，如果“无法立即更新”，组织应该将其系统下线，英国国家网络安全中心 (UK’s National Cyber Security Center) 也发表了类似的建议。根据《游戏资讯网》(Kotaku) 报道，连宝可梦之家和宝可梦冠军都被暂时下线。这一漏洞并不算新。它在 PHP 中存在了大约 20 年，但根据安全公司 Wiz 的说法，利用它“需要一个极其复杂的步骤链，接近人类研究人员实际上能够实现的边缘。”然而，强大的 AI 模型使得将这种模糊的漏洞转化为危险的漏洞变得更加容易。作为一个普通的互联网用户，你可能会想知道“通过 OOM 损坏的 RCE”这样的术语具体是什么意思，你应该多么关注，以及这样严重的漏洞为什么能在雷达下存在这么长时间。什么是 PHP？调查服务 W3Techs 表示，PHP 编程语言被“69.3% 的所有我们知道的服务器端编程语言的网站使用”，包括维基百科和 WordPress 等热门网站。互联网安全网站 VirusTotal 表示，其扫描器目前注册的约有 380 万个运行 PHP 的网站，其中至少有一个端口开放。发生了什么？根据 OpenAI 的说法，一个名为 Calif 的 AI 安全团队使用 GPT-5.6 Sol 识别出一个“关键的”PHP漏洞，而谷歌旗下的 Wiz 独立发现并报告了这些漏洞。PHP 基金会表示，一个漏洞的利用“在 2024 年被推测”过，但“没有找到具体的攻击向量，其他具体问题的明确影响掩盖了这些担忧。”现在 PHP 团队表示，黑客可以利用这两个漏洞进行“未经授权的远程代码执行”，例如运行他们的代码、修改内容以及在不需要管理员登录或密码的情况下访问网站存储的数据。通过 OOM 损坏的 RCE，CVE-2026-109618 (GHSA-w8hw-w9fx-j79w)：内存不足处理可以在 PHP 内部请求数据仅部分初始化时打断 PHP。请求清理可能会将无效数据视为有效。通过陈旧的全局状态的 RCE，CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp)：请求拥有的内部状态可以在其后备内存被释放后继续存在。后续由同一工作者处理的请求可能会在正常初始化重置之前使用该陈旧状态。这有多严重？非常严重。PHP 团队表示，几乎任何运行 PHP 的网站都处于风险之中。参与漏洞研究的 OpenAI 表示：“我们认为这是近年最具影响力的安全问题之一。”而 Wiz 表示这是“软件历史上发现的最严重的漏洞之一。”昨晚，Cloudflare 的首席技术官表示，正在“看到早期攻击出现。”很难低估这可能带来的严重后果。这些漏洞可能允许攻击者完全控制服务器。这包括获得密码、API 密钥、加密证书和敏感信息的数据库。他们还可以在这些服务器上执行代码，将其转变为攻击其他易受攻击的服务器的载体。而且，得益于 AI，经过揭示后，决心明确的黑客利用这些漏洞现在变得相对简单。作为用户，我能做什么？作为用户，能做的不多。这个漏洞影响的是运行 PHP 的服务器，并不一定直接针对用户，但可能会利用受损的网站传播恶意软件和窃取其他有价值的数据。如果你想多加小心，可以查看你经常使用的网站和服务的社交账号，看看他们是否发布了任何更新。如果你有一个网站，甚至只是一个简单的博客，是时候检查一下你的网站使用的 PHP 版本了。如果你使用的是 Squarespace 或 Wix 等服务，你就安全了，因为这些不支持 PHP。Hostinger、GoDaddy、Bluehost 或其他网络托管服务的客户应该更加谨慎。GoDaddy 表示，使用 PHP 的任何网站都应该假设受到了影响，并尽快更新到修复版本。它还表示，运行 PHP 8.1 或更早版本的网站应该升级到更新的版本，因为这些版本已不再支持，不会有官方修复推出。使用托管服务的人应该与他们的提供商核实，了解何时可以期待修复程序上线。如果你销售产品或服务或在服务器上有任何敏感数据，最好在你的主机修补他们的 PHP 版本之前禁用你的网站。如果要了解更多有关本故事的主题和作者的信息，请关注相关主题和作者。