这几天，全球不少网站运营者都在做同一件事：检查自家网站是不是用PHP写的，是就立刻更新。人工智能在PHP中发现了严重安全漏洞，而这种诞生于上世纪90年代初的编程语言，支撑着全球数以亿计网站中约70%的运行。泰国大量商业网站、预订页面和服务站点同样建在以PHP为基础的平台上，拖延更新的风险敞口，和世界其他地方并无区别。
漏洞藏了十多年，是AI把它们翻出来的
安全公司Wiz Research称PHP是“网络的支柱”，该公司利用AI找出了在PHP中隐藏十多年的漏洞。PHP的名称最初源于“Personal Home Page”，它支撑着许多流行的建站平台，这意味着漏洞可能让黑客侵入从在线商店到政府服务的各类网站。今年8月，Wiz等团队使用OpenAI和谷歌等美国巨头的前沿AI模型找出了PHP的薄弱点，整个过程在补丁开发期间一直保密；另一家安全公司Calif则在OpenAI资助的一次PHP代码审计中独立发现了同样的漏洞。OpenAI称这些漏洞是“近年记忆中最具影响力的漏洞之一”，并表示这标志着一个新阶段：AI已经能找出具有互联网规模影响的安全缺陷。修复补丁已于周三发布，PHP基金会向全球企业和机构的技术部门喊话：“如果你在运行PHP，现在就必须更新。”
网站变黑不等于已被黑，先下线是负责任的做法
更新令下达后，从巴黎警察局网站到一款宝可梦睡眠追踪应用，成千上万的应用和网站一度下线，开发者忙着在黑客下手之前保护底层代码。专家提醒，下线本身不必恐慌：澳大利亚斯威本科技大学的Dimitrios Salampasis指出，网站下线不一定意味着已被入侵，在应用安全更新期间把系统先撤下来，本身就是负责任的防护措施。詹姆斯库克大学新加坡校区网络安全高级讲师Steve Kerrison则点出了各方如此急迫的另一面：AI这类工具的问题在于，一旦全部信息公开，人们可以非常、非常快地把漏洞武器化。对泰国的网站管理者而言，结论并不复杂：先确认是否使用PHP，用了就按周三发布的更新立即修补，来不及修的宁可短暂下线，也不要带着已知漏洞继续运行。
来源：Bangkok Post｜查看原文