NSA 警告 PHP 兩個高嚴重度漏洞，OpenAI 與 Wiz 借 AI 挖出存在近 21 年的缺陷，網站須立即修補

美國國家安全局（NSA）週三發出警告，指出 PHP 發現兩個嚴重漏洞，PHP Foundation 已發布修補程式。PHP 是伺服器端程式語言，據報導約支撐全球七成網站（以部分統計約超過 3,300 萬個站點），也是 WordPress 等內容管理系統的基礎。NSA 表示，若網站無法立即修補，應先將其下線，以免攻擊者侵入伺服器檔案系統或網站使用的資料庫。 據報導，這兩個漏洞自 2004 年發布的 PHP 5 起即存在於所有版本中。PHP 8.1 及更舊版本已不再受支援，建議網站伺服器升級至目前的 8.5.12 版。 漏洞是由 AI 工具協助發現。依 OpenAI 部落格，安全測試公司 Calif 在 OpenAI「Patch the Planet」計畫下，使用 GPT-5.6 Sol 找到其中一個漏洞。另據 Wiz 團隊表示，其使用 Wiz Atlas 安全 AI 代理、Gemini 4 Argon 與 GPT-5.6 Sol，找出 PHP 的多個漏洞。兩家公司均表示已依負責任揭露流程先與 PHP 團隊合作修補，之後才公開。Wiz 感謝 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 與 Vercel 協助測試修補程式。 WordPress 已發表聲明，表示此漏洞並非 WordPress 特有，但使用其 CMS 的網站仍須修補伺服器，並與主機商合作確保防護。 OpenAI 表示，這些漏洞是在駭客發現前已被研究人員找到，目前沒有遭利用的通報。Wiz 在部落格中警告，AI 已降低利用門檻，LLM 可協助攻擊者將 exploit 調整至不同 PHP 版本、設定與記憶體配置。漏洞揭露後，各方都需爭取時間，在駭客攻擊未修補網站前完成修補，NSA 因此建議無法立即修補者先暫時下線。