一个漏洞在代码里躺了至少十年，最后是被AI翻出来的。英国政府表示，正在主动排查并修补其在线服务中可能存在的暴露面。此前，PHP编程语言中被发现存在漏洞，而全球大量网站的运行都依赖这门语言。
据网络安全公司Wiz估算，互联网中约70%的部分受到影响。这一数字暂无法独立核实。漏洞最早由AI发现，随后各国政府与机构敦促网站尽快处理。
英国国家网络安全中心（NCSC）与欧盟、澳大利亚的对应机构早前已呼吁PHP使用者安装修复程序。NCSC在一份说明中给出更硬的建议：“如果无法立即修复，组织应考虑将系统下线，直到能够完全缓解风险。”
各国政府和包括亚马逊在内的一些全球最大公司，都在抢在黑客利用漏洞之前加固系统。荷兰网络安全机构作为预防措施下线，芬兰政府关闭了公共网络服务，维基百科也下架了部分网站内容。这与包括美国在内的多国政府给出的建议一致：修不了就先关。PHP于10月21日发布了可用于修补漏洞的软件补丁。
亚马逊周三称，已识别出一次“PHP2Shell利用尝试”，发生在10月17日。该公司安全负责人CJ Moses说，攻击中一个匿名互联网地址试图针对亚马逊一个诱饵或“蜜罐”系统的弱点下手。使用匿名IP地址，说明活动由“威胁行为者”实施。
10月21日针对亚马逊的后续攻击中，“实际载荷和匿名化基础设施的选择各不相同，说明这是多个行为者”。这些攻击发生在信息泄露之后、PHP警告禁令解除之前。Moses补充说，AI的使用意味着“一旦漏洞的技术细节被披露，更多行为者能在数小时甚至数分钟内行动”。
PHP基金会原计划本月晚些时候公布发现并附带完整修复，但漏洞细节在周二已在社交媒体上泄露。美国国家安全局表示，所识别的漏洞“往往提供通往服务器文件系统或数据库的直接路径”，可能让攻击者“窃取敏感数据、破坏服务，或向网络更深处移动”。该机构强调，这些是PHP本身的缺陷，而非托管应用或其配置的问题。OpenAI称这一发现是“近期记忆中最具影响的安全问题之一”。
澳大利亚AI战略委员会首席执行官Anna-Maria Arabia对BBC表示，PHP事件“展示了AI正在多快地改变网络安全格局”，过去暴露一个漏洞要花数月，现在只需数天。她警告，随着AI技术快速进步，此类威胁只会更常见，“换句话说，不会倒退”。
热门跟贴