首页 / 资讯详情
AI 到处挖漏洞一整年，终于给人类爆了个大的
摘要
头图图片来源：Wiz10 月 21 日晚，如果你有在社交媒体冲浪的习惯，可能会发现一个奇怪的网站关闭潮：几乎是在同一时间，全球多个国家和地区的各种重要基础设施网站纷纷宣布临时关闭。周三。芬兰政府把所有对外的网络服务关掉了；荷兰国家网络安全中心连自己的官网也撤了下来，鹿特丹港、荷兰足协、五大政党的网站和多家医院紧随其后；法国内政部让各省政府网站暂时下线，德国联邦 IT 服务商关掉了多个站点，比利时外交部、维基媒体基金会、任天堂，也相继停掉了部分服务。荷兰政府宣布 DigiD 等网站预防性下线｜图片来源：Rijksoverheid但这些网站其实都没有被黑，而是自己主动关掉的。原因是 PHP 的两个漏洞：PHP 是世界上用得最多的网站后端语言，W3Techs 的统计里，能识别出后端语言的网站约七成跑在它上面。这两个漏洞被合称为 PHP2Shell，攻击者不需要登录，就有可能远程控制整台服务器。最先找到它们的，是 AI。不过 AI 找到漏洞早就不是新闻了。但据目前的公开报道，这是第一次，一个由 AI 挖出来的漏洞，让好几个国家的政府在同一天关掉了自己的网站。它真正宣告结束的，是网络安全里一条从没写进教科书、却一直在起作用的规矩：很多漏洞之所以安全，只是因为攻击它们太累了。PHP 官方给这两个漏洞的严重程度评分都是 9.2（满分 10），安全公司 watchTowr 直接打了满分。它们都出在 PHP 最底层的内存管理上，和网站自己的代码写得好不好无关。PHP 官方的说法是，所有处理网页请求的 PHP 都受影响；Cloudflare 说，受影响的版本一路追溯到十多年前的 PHP 5.4。PHP 基金会的 Volker Dusch 拿它和 2014 年的「心脏出血」比，说这是十多年来最严重的 PHP 安全问题。让各国政府紧张的，是接下来混乱的 48 小时：漏洞原本处在保密期，按照行业惯例，软件方先把补丁准备好，再和发现者一起公开。但 10 月 20 日，有人在 Hacker News 和地下论坛 BreachForums 上放出了消息，watchTowr 当天确认漏洞是真的。当晚，PHP 官方紧急宣布，补丁提前一天，在 21 日 14:00（UTC）发布。补丁出来之前，攻击尝试就开始了。Cloudflare 的 CTO Dane Knecht 在补丁发布前近六小时就在 X 上说，「我们看到早期攻击正在出现」。美国国家安全局、英国国家网络安全中心、欧盟网络安全机构 CERT-EU 给出的建议几乎一致：来不及打补丁的系统，先下线。于是就有了开头那一幕。三家公司联合披露了这组漏洞｜图片来源：PHP2Shell幽灵漏洞复活PHP2Shell 最反常的地方在于，它并不新，它甚至并不是昨天刚刚发现的。首个发现它的安全公司 Calif 在技术文章里，把它的源头追溯到 2004 年。在 20 年前，安全研究员 Stefan Esser 就发现过 PHP 在内存耗尽时的同类问题。2020 年，有人提交过相关的 bug 报告，几乎没人理会；2024 年，一次第三方资助的 PHP 安全审计又碰到了相关问题，但因为没能证明它真的可以被利用，最后没有修。这个漏洞在 PHP 里躺了十多年，不止一次被人摸到了边，却一直没有人把它做成真正的攻击。2020 年的 bug 报告，几乎没人理会｜图片来源：Calif原因不是没人想到，而是太费劲。独立作者 Nick Rogers 在分析文章里说，把这类漏洞做成能用的攻击，需要「数周枯燥的手工调试」，过去没有人愿意为它付出这个成本。他给这种状态起了个名