Wiz CTO 談 PHP 兩個重大漏洞：AI 加快找洞，PHP 撐起約 70% 網站

發生什麼事

據 TechCrunch 報導，上週（來源未給確切日期），PHP（開源的網站程式語言）出現兩個 critical bugs（重大漏洞）。PHP 是約 70% 網站背後的語言，不少組織忙著修補系統，有些網站在漏洞修好前被下線。TechCrunch 指出，發現這些漏洞的研究人員認為這只是開始，因為 AI 正在改變新漏洞被找出與被利用的速度。 TechCrunch AI 原文

TechCrunch 在 Equity（TechCrunch 的 Podcast 節目）中，由 Rebecca Bellan 訪問 Tomer Schwartz。Schwartz 是 Google 旗下 Wiz（資安公司）Exposure Management & AppSec 的 CTO，曾與 OpenAI、研究團體 Calif 和 PHP 團隊一起搶修這些漏洞。 原文 原文

動區動趨整理指出，這組漏洞名為 PHP2Shell，CVSS（漏洞嚴重程度評分）為 9.2。攻擊者不需要帳號密碼，就可能從遠端在伺服器上執行程式碼。Wiz 官方部落格指出，過去十年發布的每個 PHP 版本，至少受其中一個漏洞影響。動區寫到，PHP 撐起的網站包括 WordPress（網站架設軟體）、Drupal（內容管理系統）與 MediaWiki（維基百科使用的軟體）。 動區動趨 BlockTempo

關於 AI 的角色，Schwartz 說沒有 AI，Wiz 找不到這些漏洞。TechCrunch 節目簡介提到，自訂工具在一個週末測試了數十個點子。動區整理的細節是：Wiz 用自建框架 Atlas（Wiz 自建、讓模型同時試多條路線的框架），疊在 Google DeepMind、OpenAI、Anthropic 的前沿模型之上。做法是每位研究員各提 20 個點子，丟給 Atlas 跑一個週末，下週再挑結果驗證。Schwartz 說現在可以把一個研究員的產出放大 100 倍、1,000 倍。 TechCrunch AI 動區動趨 BlockTempo

TechCrunch 節目簡介提到，其中一個漏洞在眾目睽睽下留存超過十年。動區整理 Schwartz 的說法：相關資訊最早在 2020 年甚至更早就出現過，但沒人做出攻擊程式。他認為改變的是 AI，現在可以花大量 token（模型處理文字的計量單位），在不同想法之間切換，嘗試過去太耗人力的事。 TechCrunch AI 動區動趨 BlockTempo

訊息提前走漏的部分，動區整理如下：參與協調的各方擔心別人知道大概位置後，能用 AI 找出同類漏洞，因此決定提前發布，部分下游專案來不及出修補版。Schwartz 說，coordinated disclosure（協調揭露，先私下通知維護者、修好再公開）本質上就有缺陷，因為要讓防守方提早準備就得擴大圈子，內圈可能變成數百人，所以「我不怪任何人走漏」。 原文

誰受影響

Schwartz 表示，Wiz 每天從客戶環境與全網掃描監測，「仍然多數工作負載沒修補」。他說修補運作中的網站，要先找到負責人，再確認新版裝好。對一般小網站，他說 WordPress 託管、Wix、GoDaddy（網站建置與代管平台）這類大平台多半知情，能在後臺直接修，修不了也會通知客戶。真正危險的是自己架 WordPress、沒走大平台的小商家，不確定時可問平台，或到 Wiz 架設的說明站 php2shell.com 聯絡。 動區動趨 BlockTempo

據動區轉述，php2shell.com 寫明：漏洞在 PHP 本身，網站程式碼寫得再安全也會中；唯一完整的修法是升級 PHP 並重啟，只更新 WordPress 等應用程式不會更新底下的 PHP。首批修補版是 8.2.35、8.3.36、8.4.27 與 8.5.12。 原文

限制與未定事項

Schwartz 擔心未修補的長尾會拖很久。TechCrunch 節目簡介也列出「誰還沒修補」，以及跑 WordPress 的小企業主是否需要擔心，兩項都是節目討論的主題。 動區動趨 BlockTempo TechCrunch AI

各方說法

Schwartz 的判斷是這類重大漏洞會變常態，他說「這不會是唯一一個」，接下來幾週、幾個月還會有重大漏洞公布。動區指出，Wiz 部落格把 PHP2Shell 比作 2014 年的 Heartbleed 與 2021 年的 Log4Shell，認為這可能是 AI 時代類似的轉折點。Schwartz 對沒有資安團隊的小公司建議：若每月甚至每週都有類似漏洞，人工排程的修補週期「永遠跟不上」，系統要能隨時下線、自動修補，環境全部寫成程式碼並持續部署。以上是 Schwartz 與 Wiz 的看法，來源中沒有其他機構的獨立評論。 動區動趨 BlockTempo

接下來要看的事

• Schwartz 判斷接下來幾週、幾個月還會有重大漏洞公布，這是他的預期，來源未列出具體項目。
• Schwartz 擔心未修補的長尾會拖很久，Wiz 每天從客戶環境與全網掃描監測修補進度。
• TechCrunch 節目簡介提到會討論誰還沒修補，以及跑 WordPress 的小企業主是否需要擔心。