近日，“AI发现人类网络潜伏多年的‘暗门’”引发广泛关注。这一话题背后，是人工智能辅助网络安全研究取得的一项重要进展：研究人员借助AI工具，在广泛使用的PHP编程语言核心代码中发现并验证了两项严重安全漏洞。相关漏洞可能使攻击者在特定条件下绕过身份验证，在受影响的服务器上执行代码。
2026年10月21日，PHP项目正式发布安全更新，修复了这两项漏洞。PHP官方公告将其严重性评分均列为9.2分（CVSS 4.0），并明确要求相关用户尽快更新。
值得注意的是，媒体所说的“暗门”是对隐蔽安全缺陷的形象描述，并不意味着已经证实有人故意在软件中植入后门。此次事件真正值得关注的，是AI如何帮助研究人员验证长期存在的代码隐患，以及这一变化将对互联网安全产生怎样的影响。
一、两项严重漏洞，为何引发广泛关注？
PHP是一种广泛应用于网站和Web应用开发的开源编程语言。WordPress、Drupal、Joomla等内容管理系统以及大量网站服务，都可能运行在PHP环境之上。
安全公司Wiz在2026年10月21日发布的研究报告中估算，PHP支撑着全球约70%的网站。这个数字属于该公司的统计口径，并不代表相关网站都已遭到攻击，但它说明PHP核心代码的安全问题具有较大的潜在影响范围。
此次公开披露的两项漏洞编号分别为CVE-2026-109618和CVE-2026-109619，均涉及PHP底层的内存管理与错误处理机制。
第一项漏洞与内存不足时的异常处理有关。当程序在特定时机遭遇内存限制问题，内部请求数据可能处于尚未完整初始化的状态，而后续清理流程又可能错误地处理这些数据，造成内存破坏。
第二项漏洞涉及过期的全局状态。在特定错误发生后，部分内部状态可能仍指向已经释放的内存，而同一工作进程处理后续请求时，可能继续使用这些失效数据。
这些问题并不依赖于某一款特定网站应用自身存在代码漏洞，而是涉及PHP运行环境本身。根据PHP官方公告，所有处理Web请求的PHP部署形式都需要评估风险，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP及LiteSpeed等。官方特别指出，使用Apache mod_php的环境风险较高，已有研究演示表明，在特定条件下，未经身份验证的请求可以在应用代码执行前触发攻击。
需要说明的是，漏洞存在不等于所有相关网站都已经被入侵。实际影响取决于运行版本、部署方式及其他具体条件，但这并不改变此次漏洞需要尽快修复的事实。
二、为什么长期存在的代码问题，现在才被验证出严重风险？
此次事件引出了一个值得思考的问题：既然漏洞存在于底层代码中，为什么过去没有彻底解决？
根据PHP基金会2026年10月21日发布的说明，PHP在2024年进行的一次外部安全审计期间，开发人员发现了与其中一项内存问题相关的早期迹象。当时，研究人员曾推测这类问题可能存在利用路径，但尚未找到具体、可验证的攻击方式。
问题修复也面临现实困难。PHP底层代码需要兼顾向后兼容性、性能表现和庞大的第三方扩展生态。针对内存管理机制的修复，可能带来兼容性变化、拒绝服务风险，或者要求大量扩展同步调整。
PHP基金会承认，在技术权衡、决策流程和人员资源等因素影响下，相关修复工作曾多次停滞和重新启动。
这也说明，发现代码存在隐患，与证明其能够被攻击者实际利用，并不是同一件事。
一些安全问题可能涉及复杂的调用链和特殊的触发条件。研究人员即使发现了异常，也仍然需要证明问题的触发条件、实际影响及可行攻击路径，才能进一步评估严重程度并设计适当的修复方案。
据Wiz披露，此次研究涉及长期存在于PHP代码库中的底层设计问题，相关缺陷的潜在利用路径过去并不容易验证。AI工具的参与，帮助研究人员降低了分析复杂代码和验证攻击路径的难度。
因此，这次事件不能简单理解为“过去所有人都没有发现问题”，更准确的说法是：部分问题此前已经出现风险迹象，但其实际可利用性直到近期才得到进一步验证。
三、AI在这次漏洞发现中发挥了什么作用？
根据OpenAI于2026年10月21日发布的公开说明，其发起的“Patch the Planet”计划联合软件维护者、安全研究人员及相关服务商，共同应对PHP中的严重漏洞。
OpenAI披露，安全研究机构Calif使用GPT-5.6 Sol发现了其中一项严重漏洞；Wiz研究团队也独立发现并报告了这两项漏洞。Wiz方面表示，其研究过程中使用了Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol等工具。
这些AI工具协助研究人员分析复杂代码、探索潜在漏洞路径，并验证特定条件下的攻击可能性。对于涉及多层调用关系、内存管理和异常处理的问题，AI可以帮助研究人员更快地定位可疑逻辑、生成测试思路，并检查修复方案。
不过，不能因此认为AI单独完成了从发现漏洞到修复漏洞的全部工作。
在此次事件中，漏洞报告、技术验证、修复方案设计、补丁测试和正式版本发布，涉及多个团队的协作。PHP维护团队主导了漏洞修复和版本发布工作，OpenAI、Wiz、Calif及其他合作伙伴则参与了研究、技术支持和协调工作。
这表明，AI正在成为网络安全研究的重要辅助工具，但最终的风险判断、修复决策和软件维护仍然需要专业人员负责。
更值得关注的是，同样的技术进步也具有两面性：AI既可以协助防守方发现长期存在的安全缺陷，也可能帮助攻击者更快地分析代码和开发漏洞利用程序。因此，漏洞发现能力提升的同时，补丁发布、风险评估和系统更新也需要同步提速。
四、漏洞已经修复，网站运营者应该如何应对？
2026年10月21日，PHP项目发布了以下修复版本：
-
PHP 8.5.12
-
PHP 8.4.27
-
PHP 8.3.36
-
PHP 8.2.35
上述版本修复了此次披露的两项严重漏洞。具体适用版本和升级方法，应以PHP官方安全公告为准。
PHP官方明确指出，完整解决问题的办法是升级至修复版本，不存在能够保证系统安全的完整替代性缓解措施。
官方虽然给出了针对特定攻击路径的配置调整建议，但这些措施只能降低部分风险暴露，不能使尚未修复的安装环境变得安全。例如，部分配置调整只能阻断已经验证的特定利用路径，不能保证其他可能的攻击路径同样受到阻断。
因此，不能因为调整了某些参数、增加了防护规则，或者暂时没有发现异常，就认定系统已经安全。对暂时无法升级的环境，应由专业运维人员依据官方公告评估适用的临时防护措施，同时制定明确的升级计划，并尽快完成修复。
网站和企业技术团队还应重点做好以下工作。
首先，盘点实际运行的PHP版本及部署形式。网站使用的内容管理系统版本，并不能直接代表服务器底层PHP运行环境的版本。即使网站应用已经更新，也需要单独确认PHP环境是否受影响。
其次，检查服务器和托管平台的更新状态。使用云服务器、虚拟主机或第三方托管服务的企业，应联系相关服务商确认适用的安全补丁是否已经部署。对于PHP 8.1及更早版本，PHP官方项目已不再直接提供常规更新，但部分Linux发行版及长期支持服务商可能提供回移植补丁。相关用户应向自己的软件供应商确认适用的修复方案，或升级至受支持的版本。
最后，完成补丁升级后，还应根据系统暴露程度和现有安全日志开展必要检查。补丁可以修复已知漏洞，但不会自动证明系统此前没有遭到攻击。如果发现异常进程、可疑访问或安全告警，还需要进一步评估是否存在入侵及凭据泄露风险。
五、这次事件说明，AI正在改变网络安全的攻防节奏
此次PHP漏洞事件还有一个值得关注的细节。
据The Verge于2026年10月22日的报道，Amazon Threat Intelligence在10月17日发现了针对相关PHP漏洞的利用尝试，时间早于10月21日的正式补丁发布。
这里需要区分“利用尝试”和“成功入侵”：发现攻击尝试，并不等于确认攻击者已经成功执行恶意代码。PHP基金会也表示，在正式披露时，其安全团队尚未发现有效的功能性漏洞利用程序。
这一情况反映出，严重漏洞的安全处置不仅涉及技术发现，还涉及漏洞披露、补丁准备和用户更新之间的时间差。
传统安全研究往往需要专业人员阅读代码、分析异常、搭建测试环境，再逐步验证漏洞路径。随着AI代码分析和自动化测试能力增强，部分过去难以验证的问题可能更快进入可复现、可评估的阶段。
但发现速度提升，并不意味着整个互联网会自动变得更安全。如果企业资产盘点不充分、底层软件长期不更新，或者漏洞发现后无法及时完成修复，风险仍然可能持续存在。
从这个角度看，AI发现PHP长期存在的安全隐患，真正值得关注的不是它是否能够找出所有互联网“暗门”，而是它正在改变漏洞研究的效率边界。
对于防守方而言，如何将AI发现的风险及时转化为经过验证的补丁、有效的部署和持续的安全维护，将成为未来网络安全工作的重要课题。
结语
AI发现PHP底层严重漏洞，是人工智能参与网络安全研究的一个重要案例。它展示了AI协助分析复杂代码、验证漏洞利用路径的能力，也提醒行业关注日益缩短的漏洞发现与利用时间窗口。
对于企业和网站运营者而言，安全不能仅依赖上线前的一次检查，也不能等到事件登上热搜后再采取行动。持续掌握底层软件版本、及时响应官方安全公告，并确保修复措施真正部署到生产环境，才是应对这类风险的基础。
AI正在改变安全漏洞被发现的方式，而真正决定系统能否保持安全的，仍然是及时修复、正确部署和持续维护。
