AI 逼我们还清四十年的技术债：PHP2Shell 的到来

📋 概述

PHP 诞生于 1994 年，承载了大量遗留网站。它有一个早就上报过的内存缺陷：申请的内存装不下数据时会触发内存耗尽、程序崩溃。崩溃很烦但不危险，所以这个缺陷从 2024 年报到 PHP 基金会起就被搁置。今年赞助 PHP 独立审计的 Calif 公司里，一名研究员借助 AI 工具，在两周内把这个「只会崩溃」的缺陷变成可以在服务器上执行任意代码的严重漏洞，波及 WordPress、Drupal 站点，包括 NASA、维基百科与白宫。补丁在攻击者拿到利用方法前发布，但文章的主线不在漏洞本身，而在成本结构：AI 让「找漏洞」变便宜了，「修漏洞」依然昂贵——四名工程师花了两个月做补丁，还得保证不破坏既有功能。这份不对称最终压在没有任何营收的开源维护者身上。