PHP 披露两个无需认证漏洞，AI 加速攻击利用

Zafran Security 产品经理 Yonaton Keller 在周三凌晨披露了两项无需认证的 PHP 高危漏洞，指出这是 AI 时代首个重大安全事件，因为攻击者利用 AI 工具可在几分钟内完成漏洞利用，彻底打破了传统的“评估攻击面 - 制定修复计划 - 执行”的响应流程。 尽管 PHP Foundation 计划在以色列时间下午 5 点发布官方补丁，但细节已在论坛泄露并迅速传播。Keller 强调，由于全球约 70% 的网站依赖 PHP，且 AI 降低了技术门槛，即使是无技术背景的攻击者也能轻易接管服务器、窃取数据或部署勒索软件。Tenable、Qualys 和 Rapid7 等扫描器虽已快速更新检测规则，但大规模修补仍需数小时，期间面临极高的被攻击风险。 这一事件标志着网络安全投资逻辑的根本转变：组织必须从长期投入的“事后补救（post-compromise）”模式，转向大量资源投入“事前防御（pre-compromise）”领域。事实是 AI 加速了攻击链条，推断是传统应急响应机制已失效，猜测是未来安全架构将更侧重于预置防御而非被动响应。