GPT挖出PHP世纪大漏洞，人类屎山代码的大清算开始了

全球后端程序员估计天都塌了。 研究员借助GPT等AI模型，挖出了一个 危险等级高达9.2分的重大漏洞 ，搞得全球大量网站紧急排查、打补丁。 谁能想到，闹出这么大动静的漏洞， 两年前就有人发现了 ，只是一直没搞定。结果这次研究员 带着AI重新挖了一遍，直接证明黑客真能借此攻进服务器 。 这下好了，全球网站管理员集体加班。 一个Bug，全球加班 这次漏洞一曝光，大半个互联网都跟着忙活起来了。 美国的4chan、DeviantArt临时下线，连维基百科背后的维基媒体基金会，也紧急关闭了部分服务。 日本那边更热闹，Niconico动画、pixiv、《赛马娘》《碧蓝幻想》等大家熟悉的平台和游戏，也纷纷进入紧急维护。 不光是娱乐网站，欧洲不少公共服务平台也受到了波及。荷兰、芬兰、法国的部分网站直接暂停服务，英国国家网络安全中心甚至建议， 来不及修补漏洞的系统，不如先关掉再说。 好家伙，一个漏洞，搞得大家集体停服打补丁。 连Cloudflare这种给全球大量网站提供网络安全服务的公司，都提前部署了专门的防护措施。 到底是什么漏洞，能把互联网折腾成这样？ 漏洞捅到大动脉了 罪魁祸首，就是一个叫 PHP2Shell 的重大安全漏洞。 PHP可能很多人没听过，但你每天上网， 基本都绕不开它 。比如大家熟悉的 维基百科，背后就大量使用PHP 。平时登录账号、搜索内容、提交订单，很多网站都是靠PHP在后台处理。 全球能识别出后台编程语言的网站里，差不多每10个就有7个在使用PHP。 这次的漏洞，算是直接出在互联网的大动脉上了。 而且一查就是两处严重问题。 第一处，PHP处理网站请求时，如果突然遇到内存不足， 部分数据还没准备好，程序就继续拿来用 。 第二处更离谱，有些内存明明已经释放了，PHP却 还留着旧记录，下一个请求来了，居然还照着旧记录继续访问 。 这些错误平时可能只是导致程序崩溃，但一旦被黑客利用，麻烦就大了。 在特定条件下，黑客甚至不用注册账号，也不用知道密码，就能让网站服务器执行自己的指令。 比如你开了一家网店，黑客可能 直接读取服务器里的数据库密码、篡改网站内容，甚至植入恶意程序 。 还有一种攻击更吓人，黑客甚至能直接读取服务器内存里的数据， 把账号密码、API密钥等敏感信息偷走。 更坑的是，网站开发者可能啥也没做错。 因为漏洞出在PHP本身，只要网站运行的PHP版本和配置满足攻击条件，就可能中招。 而且部分漏洞甚至能追溯到十几年前的PHP 5.4， 从多年没更新的老网站，到使用较新版本的网站，都可能受到影响。 难怪这么多网站忙着停服、打补丁。互联网大量网站共同依赖的软件出了这么大的安全问题， 这谁还睡得着觉啊 。 一个AI卷翻安全团队 你可能会问，这么严重的问题，藏了十几年， 怎么现在才发现？ 其实 早在2024年，PHP维护团队就发现了相关异常 ，但一直没搞清楚，这些问题到底能造成多大的破坏。 因为这活靠人工干， 实在太折磨了 。 程序员得 埋头翻大量底层代码，找出哪里出了问题，再一遍遍写测试、运行、调试 。好不容易发现点线索，换个版本可能又不管用了，只能继续折腾。忙活几个月，可能最后只证明程序会崩溃，至于黑客能不能利用它干点更严重的事，还是一头雾水。 再加上 修复牵涉性能、兼容性 ，PHP团队就这么一直没能彻底解决。 结果今年， 研究员带着GPT-5.6 Sol来了 。 研究员凭经验给AI指了个方向，让它重点检查PHP处理内存异常的代码。AI沿着线索分析、测试，研究员再不断验证，最终找出了能让黑客远程执行代码的攻击路径。 为啥人干起来这么费劲，AI干起来就这么轻松呢？ 因为代码研究有个AI特别擅长的地方：可以快速验证。 猜一条路可能有问题，就写代码试试。跑不通，看看哪里错了，改完接着跑。AI能把这套流程反复执行，试完一条再试下一条，不断筛选、调整，而且可以多个线路并行跑，效率能不快吗？ 过去需要 顶级安全团队花几个月完成的研究 ，现在 一个研究员带着AI，大约一周就能搞定。 古法编程真该退场了 PHP都发展30多年了，底层代码经过无数程序员的检查和维护，结果AI一上手，还是经不起查。 那其他运行了十几年、几十年的老系统呢？里面还藏着多少Bug，堆了多少没人敢碰的人类屎山代码？ 以前经常听程序员吐槽AI写的代码不够优雅、不够规范。 但人写出来的代码，真有那么值得迷信吗？ 很多老系统能稳定运行， 不代表代码质量有多好 。可能只是那些复杂的情况， 过去没人有精力一项项测试。 时间久了，代码越堆越多，谁也不敢轻易动，最后连原来的开发者都未必搞得清楚。 发现问题也头疼。改一处可能影响十处，光是搞明白修改会牵连哪些功能，就得折腾很久。 真要人改，大量程序员的时间，实际上都得耗在理解旧代码、排查问题和反复调试上。 现在AI连写代码、找Bug、调