AI 正逼企業償還拖了 40 年的技術債

AI 讓找漏洞的成本大降，PHP2Shell 就是例子：2024 年僅被當成當機隱憂的舊錯誤，資安公司稽核 12 天就證實能遠端攻擊。可修補卻要花約 10 週，近半數 PHP 網站還跑著官方沒出正式修補版的舊版本。
（前情提要：漏洞末日來襲？Wiz 技術長：PHP2Shell 不是特例，下一個很快就來）
（背景補充：窮到全職僅一人！PHP 基金會支撐全球近 7 成網站，帳上現金卻撐不到半年）

本文目錄

隨著 AI 讓找漏洞變得又快又便宜，過去幾十年人寫的程式裡，那些「頂多讓程式當機」而被擱著的 bug，現在能被串成真正的攻擊，業界不得不一筆筆清掉。這是 IEEE Spectrum 11 月 2 日的一篇評論。

受訪的 Tolmo AI 資安研究負責人 Matt Suiche 說：「人類過去 40 年寫的舊軟體，正在被一一揭開。現在是還技術債的時候了。」技術債指的是當年為了省事留下、一直沒處理的缺陷。

原本頂多當機的舊 bug，為什麼突然變危險？

評論用 PHP2Shell 當例子，根源是記憶體不足（OOM）。依 PHP 基金會的事後說明，白話是：請求剛好在用完記憶體上限的那一刻進來，PHP 會留下半成品的內部資料，事後還拿來當正常資料用，記憶體因此被破壞。

這種錯誤通常的下場是當機。哥倫比亞大學資工系副教授 Suman Jana 說，待修清單裡總有一堆當機回報，多數人不當真。PHP 這個問題，2024 年外部稽核期間已有核心開發者看到跡象，但當時僅是理論推想，沒找到攻擊路徑。

2026 年情況變了。資安公司 Calif 從 7 月 30 日起稽核 PHP，12 天後就回報：這個舊問題能讓人不用登入，遠端執行任意程式碼。Jana 說，寫出這種攻擊不是什麼高深科學，是大量瑣碎又痛苦的推理，而 AI 做得很好。

他也強調 AI 無法自己全做完，作用是讓頂尖 0.1% 的專家做更多事，也讓略低一級的人不必懂所有細節就能做到。Calif 研究員 Ryan Austin 在說明頁也坦言，這次初步發現用的是人人可用的模型，關鍵還是他熟悉這段程式過去出過哪些漏洞；「沒有哪個模型靠簡單提示就能挖出所有 bug。」

找得快，為什麼修不快？

Jana 說：「找 bug 和修 bug 之間，有根本的不對稱。」修的時候，得確定攻擊的每個環節都堵上，還不能弄壞既有功能。PHP 就是例子：2024 年看到跡象後，幾種修法各有代價，有的會破壞相容，有的得改動大量第三方擴充模組，工作反覆停擺，基金會自稱「結構性失敗」。8 月 Calif 回報後，修補版仍花了約 10 週才上線。

版本分散讓債更難還。依 W3Techs 11 月 6 日的統計換算，官方這次僅替 PHP 8.2 到 8.5 推出正式修補版，這幾條版本線約涵蓋 53% 的 PHP 網站；將近一半（約 47%）跑的是官方沒出正式修補版的舊版本。

基金會說，發布時沒看到能用的攻擊程式。但修補版發布後幾天，一名開發者故意架了沒更新的 PHP 伺服器公開懸賞，約 19 小時就被攻破。