PHP两大漏洞余波未平，Wiz警告AI正把“漏洞末日”拉近

上周公开的两个PHP严重漏洞，让大批网站一度下线待修。参与处置的云安全公司Wiz高管在TechCrunch旗下Equity播客中给出的判断并不轻松：眼下的忙乱只是开头，AI正在改变漏洞被发现的节奏，也在改变它被利用的速度。

PHP是支撑约七成网站的底层语言。两个关键漏洞同时出现，等于把一大片互联网基础设施推上同一张修复清单。部分机构选择先关站，等补丁验证后再恢复，这种宁可停摆的做法在以往并不常见。

Wiz曝光管理与应用安全CTO Tomer Schwartz亲历了这轮抢修。他与OpenAI、研究组织Calif以及PHP官方团队一道，参与了漏洞确认与修复的推进。在节目里，他讲述了这场赛跑从内部看是什么样子。

按照过去的经验，一个高危漏洞从披露到出现成熟的利用工具，往往有几周缓冲。安全团队靠人工排查、分批推送补丁，大体还能跟上节奏。

Schwartz的判断是，AI把这段缓冲压缩了。自动化工具能更快读懂补丁差异、生成可用的验证代码，攻防两侧同时提速，慢一步的一方要付的代价更大。他把这种密集冲击称为“漏洞末日”，也就是英文里的vulnpocalypse。

PHP的处境有些特殊。它撑起了WordPress、Drupal等一大批内容系统，也撑起无数中小企业的官网和商城，可语言本身的维护力量与它承载的体量并不相称。核心团队规模有限，大量安全压力实际落在下游的CMS、插件和主机商身上。

漏洞公布只是起点。补丁要经过发行版打包、主机商推送、站长升级几道关，任何一环卡住，风险就停在那里。大公司有专职团队盯着公告，小站站长往往要等控制面板弹提示，甚至等到网站出问题才知道。

真正让人不安的，或许在于修补链条上那段谁都说不清有多长的时差，而不在漏洞的数量。大厂能在几小时内拉起应急响应，夫妻店式的站点只能等主机商排期，同一批漏洞落到不同人头上，风险完全不是一回事。

念书那会儿的寒假，帮人折腾一个自建小站，PHP版本是虚拟主机后台里一个下拉框，升级前得先把文件挨个备份。赶上插件不兼容，首页刷出来一片白，FTP重传、改配置、清缓存，折腾到后半夜，泡面都坨了。那时候觉得安全是运维的事，离自己远得很，手忙脚乱一场，只当是把面板点错了。现在回头看，那大概就是“手工打补丁”最朴素的形态。要是当年有个能一键回滚、顺手把依赖也扫一遍的面板，谁愿意对着白屏干瞪眼呢。

节目里另一个话题面向创业者：早期公司怎么在赶产品的同时把安全做进去。Schwartz给出的说法很直接，靠人工一个个打补丁的方式撑不到未来，流程需要自动化，安全需要前置到开发环节。

对资源紧张的初创团队，这话听着像加码。现实里，安全投入很难写进融资材料，出事后才会被追问。把依赖清单管起来、把升级做成例行流程，成本其实不高，却常被排到待办列表末尾。

AI在这里是双刃的。它能让攻击者更快找到入口，也能让防御方更快定位受影响资产、批量验证修复效果。差别在于谁先把它用顺，谁还停留在逐台机器登录改代码。

漏洞不会消失，能改变的是从披露到修好的那段路。这段路每缩短一天，所谓的末日就离得远一点。