近日，全球广泛使用的服务器端编程语言PHP被曝出两个高危安全漏洞。公开数据显示，仅已确认暴露的受影响服务器就超过百万台，多国政府机构和企业网站紧急下线。

值得关注的是，相关问题的早期迹象在2024年就已被发现，但由于缺乏明确的可利用路径，加上修复方案存在技术取舍和维护资源不足，长期未能彻底解决。直到2026年，安全研究人员借助AI等手段验证了其严重安全影响。

人工智能对网络安全攻防格局的改变，再一次被置于聚光灯下。

AI并非防守方的专属能力。随着所需的专业投入降低，攻击者也可能更快地发现和分析漏洞、开发利用工具并将其适配到不同目标。微软创始人比尔·盖茨曾多次警告AI引发的网络攻击风险。如何应对攻防态势变化正成为行业与投资者关注的关键议题。

AI把漏洞发现推向“流水线生产”

PHP是一种广泛用于网站后台开发的编程语言。据网络技术分析机构W3Techs统计，全球约四分之三的网站使用PHP作为服务器端编程语言，相关漏洞因此可能形成广泛的潜在暴露面。

多家网络安全机构指出，此次漏洞涉及PHP底层内存处理机制，影响多个主流版本及常见Web运行环境。在特定条件下，攻击者无需身份认证即可利用相关漏洞实现远程代码执行，可能导致网站被篡改、敏感信息泄露甚至服务器失陷。

需要说明的是，此次PHP相关漏洞的线索并非首次发现。

360漏洞研究院专家向《每日经济新闻》记者表示，2020年，PHP就被报告存在内存耗尽问题；2024年，人工安全审计再次发现了它，但当时未能证明其能形成有效的攻击路径。“线索一直都在，卡住的是验证这一步。”直到2026年，研究人员借助AI，几天内就找到了相关的远程代码执行路径。

上述专家进一步指出，AI能快速打通，关键在于它能跨模块、跨请求地关联分析。“这个漏洞涉及多个模块的执行逻辑，还牵扯跨请求的状态变化。单独看某个异常，它可能只是程序中断，或者资源耗尽；要证明它可利用，必须把不同模块的执行顺序、状态残留、后续请求串起来分析。这正是AI的强项。”

奇安信人工智能公司安全专家汪列军也认为，AI的优势集中在“批量穷举”和“跨路径关联”上。它能同时扫描大型代码库中内存耗尽、请求结束、状态重置等异常路径的组合场景，而人工审计很难穷举这些跨请求的时序条件。

据奇安信报告，2026年上半年新增漏洞同比增长51.9%，30.2%的高危漏洞发布当天即被利用，83.7%在21天内遭攻击。“AI正在把漏洞发现从‘手工作坊’推向‘流水线生产’。”汪列军向《每日经济新闻》记者表示。

攻防“时间差”被系统性压缩

当AI能够更快地发现并验证漏洞，防守方能否同步完成资产排查、补丁部署和风险闭环，正在成为网络安全产业面临的新考题。

汪列军强调，伴随AI技术应用，攻防格局已发生结构性变化：攻防的“时间差”被系统性压缩，防守方传统的“等补丁、再升级”节奏彻底失效。

据汪列军介绍，此次PHP漏洞公开前细节就已泄露，补丁发布当天即观测到利用行为，说明攻击者的响应速度已进入“小时级”。在防守侧，AI虽然同样能提升资产测绘、漏洞验证和异常检测的效率，但攻击是单点突破，防守是全面覆盖，AI对攻击侧的边际收益更大，攻击者只需找到一个入口，防守方却要守住所有资产。

前述360漏洞研究院专家也坦言，AI正在显著降低高危漏洞发现和利用的技术门槛。从技能层面，它能帮使用者理解漏洞机制、判断攻击条件、编写验证脚本，把过去需要专业知识积累的工作简化；在产能层面，一个人借助AI，就能完成过去一个小团队才能做的一部分工作，漏洞分析和攻击准备的效率都明显提升。

该360专家认为，从攻防态势看，短期内攻击方更容易吃到红利，因为攻击者只需要找到一个可行的突破口，而防御方要持续保护大量系统。但长期看，防御方同样可以用AI加快漏洞挖掘、风险排查和修复验证。关键不是谁拥有AI，而是谁能更快地把AI能力用到实战里。此外，由于攻击者会借AI加快找漏洞，防御方必须用AI抢在攻击者前面发现风险。

“我们的判断是，单纯提升漏洞挖掘能力去拉平差距不现实，靠AI原生安全能力单点突破也不现实，最可行的路径是加快网络安全体系的整体升级，从‘追着漏洞跑’转向‘带着漏洞防守’。”汪列军强调。

风险治理短板浮出水面

受此次PHP漏洞事件影响，网络安全在资本市场的关注度水涨船高。10月23日，万得网络安全指数上涨4.17%，网络安全板块齐涨，绿盟科技、启明星辰触及涨停。从产业来看，现有的漏洞管理机制、企业安全投入和行业协作体系正面临重塑。

汪列军认为，此次事件暴露三大断层：

第一，漏洞修复速度跟不上披露速度。PHP官方原定22日发布补丁，因细节提前泄露被迫提前至21日；有厂商又提前6小时发布修复镜像，压缩了全网防护窗口。

第二，企业修复能力参差不齐。Bitsight扫描显示，能识别版本的PHP实例中仅约三分之一落在有补丁的版本范围内，多数暴露在互联网上的PHP仍面临“补丁覆盖不足”的困境。

第三，协作机制被打破。协同披露约定被单方面打破，攻击者可逆向定位漏洞，倒逼多国政府网站预防性下线。

AI正在降低复杂漏洞研究的时间与技术门槛，但并不会自动补齐企业的资产管理、修复能力和安全治理短板。

汪列军认为，对网络安全企业来说，最需要补齐的是“带着漏洞防守”的体系化能力，而不是单一漏洞挖掘工具。尤其是AI时代漏洞挖得越来越快，“带洞防护”是常态，不能只靠出事后再打补丁。

另一方面，对用户来说，最需要补齐三块能力。汪列军表示，一是“看得见”，立即把家底摸清，哪些系统用了PHP、什么版本，哪些暴露在公网、有没有早就不维护的老系统；二是“快闭环”，补丁打完后要按“密码可能已泄露”的标准，把数据库口令、密钥、登录凭证统统换一遍；三是“常态化”，把老旧系统和历史遗留资产纳入日常安全管理，建立持续盘点、快速响应、风险清零的机制。

每日经济新闻