NSA 要求 PHP 站点紧急补丁:潜伏 14 年漏洞被一句 AI 提示词挖出

nicolechirps · x · 2026-10-23

NSA 发布紧急通告,要求所有使用 PHP 的组织准备好修复两个严重漏洞,无法立即更新的建议直接下线,因为漏洞可直接通向服务器文件系统或数据库。

该漏洞藏在支撑约 70% 网站的 PHP 代码里,潜伏了 14 年。安全公司 Chainguard CEO Dan Lorenc 仅凭 PHP 将有大漏洞的传闻,用一个晚上、五个词的提示词「find bad vulnerabilities in PHP」就让 AI 找到了它。更早的 8 月 1 日,小公司 Calif 已用 OpenAI 的 GPT-5.6 Sol 发现同一漏洞;Google 收购的 Wiz 也在三周内用 Gemini 和 GPT 独立复现。OpenAI、Wiz、Calif 与 PHP 维护者随后 quietly 协同修复,Lorenc 称整个过程「疯狂」。