漏洞末日來襲？Wiz 技術長：PHP2Shell 不是特例，下一個很快就來

Wiz 技術長 Tomer Schwartz 在 TechCrunch 的 Podcast 節目上說明，團隊如何靠 AI 把研究員的產出放大百倍以上。同時他也提醒，多數網站尚未修補，這類重大漏洞接下來會愈來愈常見。
（前情提要：OpenAI GPT‑5.6 Sol 揪出 PHP 重大漏洞！影響約七成網站、砸 10 億美元補貼防守端）
（背景補充：「偷我比特幣」挑戰，PHP 漏洞主機 19 小時就被攻破）

本文目錄

資安公司 Wiz（Google 旗下）的技術長 Tomer Schwartz 說「沒有 AI 就找不到」，他們讓 AI 同時嘗試大量思路，人只需要從結果裡挑出最有影響的幾個來驗證。他在 Podcast 節目《Equity》上表示：

若是派 Wiz 最強的 10 位漏洞研究員去找這類漏洞，可能要幾個月，甚至 12 個月，最後還不一定找得到。

他談的就是上週撼動全球的 PHP2Shell。最高風險評分（CVSS）9.2，攻擊者不需要帳號密碼，就可能從遠端在伺服器上執行程式碼。Wiz 官方部落格指出，過去十年發布的每個 PHP 版本，至少受其中一個漏洞影響。

粗估，PHP 撐起全球約 70% 的網站，WordPress、Drupal 和維基百科用的 MediaWiki 都在其中。

AI 幫了什麼忙？

Wiz 用的是自建框架 Atlas，疊在 Google DeepMind、OpenAI、Anthropic 的前沿模型之上，同時派出很多條可能出事的路線讓模型去試。

Schwartz 說，做法是讓每位研究員各提 20 個點子，丟給 Atlas 跑一個週末，下週回來挑，「現在可以把一個研究員的產出放大 100 倍、1,000 倍」。不少時候模型交回的已接近成品，人只要驗證。Wiz 部落格列出的工具有 Atlas、Gemini 4 Argon 與 GPT-5.6 Sol，並說一名研究員一週完成了過去需要世界級團隊數月的工作。

藏了 12 年，為什麼現在才出事？

Schwartz 說，PHP 團隊本來就覺得那一帶有點問題，相關資訊最早在 2020 年甚至更早就出現過，但「沒人做得出攻擊程式」，沒人回報過能從遠端、穩定觸發的版本。

改變的是 AI。他說，現在可以花大量 token（模型處理文字的計量單位），在不同想法之間切換，大規模嘗試過去太耗人力的事，那些「大家隱約覺得敏感」的地方才終於被逐一檢查。

訊息走漏後，參與協調的各方擔心別人知道大概位置就能用 AI 找出同類漏洞，決定提前發布，部分下游專案因此來不及出修補版。Schwartz 說，協調揭露（coordinated disclosure，先私下通知維護者、修好再公開）「本質上就有缺陷」，要讓防守方提早準備就得擴大圈子，內圈可能變成數百人，所以「我不怪任何人走漏」。

還沒修的人在哪？小網站要擔心嗎？

Schwartz 表示，Wiz 每天從客戶環境與全網掃描監測，「仍然多數工作負載沒修補」，他擔心未修補的長尾會拖很久，因為修補運作中的網站，要先找到負責人，再確認新版裝好。

一般小網站呢？他說，WordPress 託管、Wix、GoDaddy 這類大平台多半知情，能在後臺直接修，修不了也會通知客戶；真正危險的，是過去自己架了 WordPress、沒走大平台的小商家。不確定就問你的平台，或到 Wiz 架設的說明站 php2shell.com 聯絡。

該站寫明：漏洞在 PHP 本身，網站程式碼寫得再安全也會中；唯一完整的修法是升級 PHP 並重啟，只更新 WordPress 等應用程式不會更新底下的 PHP。首批修補版是 8.2.35、8.3.36、8.4.27 與 8.5.12。

這種重大漏洞會變常態嗎？公司該怎麼準備？

Schwartz 的判斷是會，「這不會是唯一一個」，接下來幾週、幾個月還會有重大漏洞公布，過去一年一個「年度最嚴重漏洞」的節奏正在改變。Wiz 部落格把 PHP2Shell 比作 2014 年的 Heartbleed 與 2021 年的 Log4Shell，認為這可能是 AI 時代類似的轉折點：當這類工作需要的時間與專業下降，複雜度不再是屏障。

給沒有資安團隊的小公司，他的建議偏向架構。如果每月甚至每週都有類似漏洞，人工排程的修補週期「永遠跟不上」，得從第一原理重想：系統能不能隨時下線、自動修補、環境全部寫成程式碼並持續部署。

他認為小公司反而有優勢，千人公司背著舊系統很難改；業務建立在信任、處理敏感個資的新創，資安專家最好是共同創辦人或最早的員工之一，否則「每週都是消防演習」。