AI 加快漏洞发现，PHP 修复仍靠募款

10 月 21 日，荷兰国家网络安全中心、鹿特丹港和 Overheid.nl 等公共网站陆续下线。

部分网站在补丁发布前就暂停了服务。第二天，补丁已经公开，日本的野村、三菱日联、全日空和 JR 东日本也暂停了部分网上服务。

补丁发布了，服务却未必能立即恢复。运营者需要完成升级和测试，才能重新开放系统。

据 Reuters 报道，这些停服措施针对的是 PHP 的两个严重漏洞。PHP 是一种用于在服务器上生成网页的编程语言。按 W3Techs 的统计，在能识别服务器端语言的网站中，约七成使用 PHP。

AI 加快了漏洞发现，也能帮助修复。但维护团队需要筹钱雇人，运营者需要完成系统升级。这两项工作，都无法仅凭模型使用额度完成。

OpenAI 在公告中将其列为近年来影响最大的安全问题之一。与 OpenAI 合作开展漏洞研究的安全公司 Calif 借助 GPT-5.6 Sol，证明了其中一个漏洞可以被用来远程执行代码。另一家安全公司 Wiz 独立发现并报告了两个漏洞。

PHP 基金会的复盘解释了修复为何迟迟没有完成。

基金会在事后说明中说，底层问题的迹象在 2024 年就已出现。几种修复方案可能影响现有程序的正常运行、引入新风险，或要求大量第三方扩展修改，团队一直未能形成共识。

基金会将修复拖延称为「结构性失败」。

与此同时，维护者收到的安全报告正在增加。开源网络工具 curl 的维护者 Daniel Stenberg 在 5 月写道，项目收到安全报告的速度已是 2024 年的 4 到 5 倍，平均每天超过一份。

这是单个项目的自报统计，不能代表所有开源项目。但它说明，即使报告准确，维护者也要核实影响、修复漏洞，再准备公告。发现效率提高之后，后续工作随之增加。

🔒 以下为 Dailyio 会员专属内容

PHP 基金会靠多少钱、多少人完成修复？AI 公司承诺的模型补贴之外，有多少现金用于支持开源维护？攻击者几小时就能行动，网站恢复为何可能需要数日甚至数周？

文末还给出一个可以在明年 3 月前后检验的判断。成为 ，阅读完整分析。