近期，全球范围内广泛应用的服务器端编程语言PHP被曝出存在两个高危安全漏洞，这一消息引发了网络安全领域的广泛关注。据公开数据统计，仅已确认受到影响的服务器数量就超过百万台，涉及多国政府机构以及众多企业网站，这些网站纷纷采取紧急下线措施以规避风险。

值得留意的是，相关问题的早期迹象其实早在2024年就已被察觉。然而，由于当时缺乏明确的可利用路径，再加上修复方案面临技术取舍难题以及维护资源匮乏，该问题长期未能得到彻底解决。直至2026年，安全研究人员借助AI等先进技术手段，成功验证了这些漏洞所带来的严重安全影响。

人工智能对网络安全攻防格局的变革作用，再次成为众人瞩目的焦点。

AI并非仅是防守方的有力武器。随着使用AI所需的专业投入逐渐降低，攻击者也能够更迅速地发现和分析漏洞，开发出相应的利用工具，并将其适配到不同的攻击目标上。微软创始人比尔·盖茨曾多次发出警告，强调AI可能引发的网络攻击风险。如今，如何应对这种攻防态势的变化，已然成为行业与投资者密切关注的关键议题。

AI推动漏洞发现迈向“流水线生产”新阶段

PHP作为一种在网站后台开发中广泛应用的编程语言，其地位举足轻重。据网络技术分析机构W3Techs的统计数据显示，全球约四分之三的网站都选用PHP作为服务器端编程语言。正因如此，PHP相关漏洞一旦出现，就可能形成极为广泛的潜在暴露面，给网络安全带来巨大威胁。

多家网络安全机构指出，此次曝光的PHP漏洞涉及到底层内存处理机制，对多个主流版本以及常见的Web运行环境均产生影响。在特定条件下，攻击者无需进行身份认证，就能够利用这些漏洞实现远程代码执行。这可能导致网站被恶意篡改、敏感信息泄露，甚至服务器被完全控制，后果不堪设想。

需要明确的是，此次PHP相关漏洞的线索并非首次被发现。

360漏洞研究院的专家在接受徽声在线记者采访时表示，早在2020年，PHP就被报告存在内存耗尽的问题；到了2024年，人工安全审计再次发现了这一问题，但当时未能证明其能够形成有效的攻击路径。“线索其实一直都在，真正卡住的是验证这一环节。”直到2026年，研究人员借助AI技术，在短短几天内就找到了相关的远程代码执行路径。

上述专家进一步解释道，AI能够如此迅速地打通验证环节，关键在于它具备跨模块、跨请求进行关联分析的能力。“这个漏洞涉及多个模块的执行逻辑，还牵扯到跨请求的状态变化。单独看某个异常情况，可能只是程序中断或者资源耗尽；但要证明它能够被利用，就必须把不同模块的执行顺序、状态残留以及后续请求串联起来进行分析。而这正是AI的强项所在。”

奇安信人工智能公司的安全专家汪列军也持有类似观点。他认为，AI的优势主要集中在“批量穷举”和“跨路径关联”方面。AI能够同时扫描大型代码库中内存耗尽、请求结束、状态重置等异常路径的组合场景，而人工审计很难穷举这些跨请求的时序条件，这使得AI在漏洞发现方面具有独特的优势。

据奇安信发布的报告显示，2026年上半年新增漏洞数量同比增长了51.9%，其中30.2%的高危漏洞在发布当天就被利用，83.7%的高危漏洞在21天内遭到攻击。“AI正在将漏洞发现从传统的‘手工作坊’模式推向‘流水线生产’模式。”汪列军向徽声在线记者表示。

攻防“时间差”被系统性压缩，网络安全面临新挑战

当AI能够以更快的速度发现并验证漏洞时，防守方能否同步完成资产排查、补丁部署以及风险闭环等工作，正成为网络安全产业面临的一道全新考题。

汪列军强调，随着AI技术的广泛应用，攻防格局已经发生了结构性变化。攻防之间的“时间差”被系统性地压缩，防守方传统的“等补丁、再升级”的节奏已经彻底失效，必须寻求新的应对策略。

据汪列军介绍，在此次PHP漏洞公开之前，相关细节就已经泄露。补丁发布当天，就观测到了利用该漏洞的攻击行为，这说明攻击者的响应速度已经进入了“小时级”。在防守侧，虽然AI同样能够提升资产测绘、漏洞验证和异常检测的效率，但攻击是单点突破，而防守需要全面覆盖。AI对攻击侧的边际收益更大，攻击者只需找到一个入口，而防守方却要守住所有资产，这使得防守工作面临巨大压力。

前述360漏洞研究院的专家也坦言，AI正在显著降低高危漏洞发现和利用的技术门槛。从技能层面来看，AI能够帮助使用者理解漏洞机制、判断攻击条件、编写验证脚本，将过去需要专业知识积累的工作大大简化；在产能层面，一个人借助AI就能够完成过去一个小团队才能做的一部分工作，漏洞分析和攻击准备的效率都得到了明显提升。

该360专家认为，从当前的攻防态势来看，短期内攻击方更容易从中获取红利。因为攻击者只需要找到一个可行的突破口，就能够对目标系统造成破坏；而防御方则需要持续保护大量系统，任务艰巨。但从长期来看，防御方同样可以利用AI加快漏洞挖掘、风险排查和修复验证的速度。关键不在于谁拥有AI，而在于谁能更快地将AI能力应用到实战中。此外，由于攻击者会借助AI加快寻找漏洞的速度，防御方必须用AI抢在攻击者前面发现风险，才能占据主动。

“我们的判断是，单纯依靠提升漏洞挖掘能力来拉平与攻击方的差距是不现实的，靠AI原生安全能力单点突破也不现实。最可行的路径是加快网络安全体系的整体升级，从‘追着漏洞跑’转变为‘带着漏洞防守’。”汪列军强调。

风险治理短板凸显，网络安全体系亟待重塑

受此次PHP漏洞事件的影响，网络安全在资本市场受到了前所未有的关注。10月23日，万得网络安全指数上涨4.17%，网络安全板块整体上涨，绿盟科技、启明星辰等股票触及涨停。从产业层面来看，现有的漏洞管理机制、企业安全投入以及行业协作体系正面临着重塑的迫切需求。

汪列军认为，此次事件暴露出了三大断层问题：

第一，漏洞修复速度远远跟不上披露速度。PHP官方原计划在22日发布补丁，但由于细节提前泄露，不得不提前至21日；而有厂商又提前6小时发布修复镜像，这使得全网防护窗口被进一步压缩，给网络安全防护带来了极大困难。

第二，企业修复能力参差不齐。Bitsight的扫描结果显示，在能够识别版本的PHP实例中，仅约三分之一落在了有补丁的版本范围内。这意味着多数暴露在互联网上的PHP仍然面临着“补丁覆盖不足”的困境，存在严重的安全隐患。

第三，协作机制遭到破坏。原本的协同披露约定被单方面打破，攻击者可以通过逆向定位漏洞，这迫使多国政府网站不得不采取预防性下线的措施，以避免遭受攻击。

AI虽然正在降低复杂漏洞研究的时间与技术门槛，但它并不会自动补齐企业在资产管理、修复能力以及安全治理方面的短板。企业仍需加强自身能力建设，以应对日益严峻的网络安全挑战。

汪列军认为，对于网络安全企业来说，最需要补齐的是“带着漏洞防守”的体系化能力，而不是单一的漏洞挖掘工具。尤其是在AI时代，漏洞挖掘的速度越来越快，“带洞防护”将成为常态。企业不能仅仅依靠出事后再打补丁的方式来应对安全问题，而应建立完善的防护体系。

另一方面，对于用户来说，最需要补齐三块能力。汪列军表示，一是“看得见”，即立即摸清家底，了解哪些系统使用了PHP、是什么版本，哪些暴露在公网上，是否存在早就不维护的老系统；二是“快闭环”，补丁打完后要按照“密码可能已泄露”的标准，将数据库口令、密钥、登录凭证等统统更换一遍，确保系统安全；三是“常态化”，将老旧系统和历史遗留资产纳入日常安全管理范畴，建立持续盘点、快速响应、风险清零的机制，以保障系统的长期安全稳定运行。