AI 正在逼人类 还清 40 年技术债

● ● ●

2026 年 10 月 21 日，PHP 官方做了一件罕见的事：提前一天发布紧急安全补丁。

原因很狼狈——一个论坛匿名帖子，把还没正式公开的漏洞细节提前泄了。PHP 基金会只好连夜把原定22号的补丁提前丢出来。

这个漏洞叫 PHP2Shell。两周后，它冲上 Hacker News 榜首，1088 人点赞、639 条评论。排名第一的标题比漏洞本身更扎心：

这句话出自 IEEE Spectrum 的长文。今天把它拆开讲清楚。

很多人第一反应是：我又不用 WordPress 插件，跟我没关系。恰恰相反。PHP2Shell 不在任何插件、主题、框架里，它在 PHP 语言自己的运行引擎里，具体是两个内存安全漏洞：

两个洞，CVSS 评分都是 9.2（严重）。不需要登录、不需要任何用户配合，默认配置就能打。你的应用代码写得再安全也没用——攻击发生在 PHP 解析请求的阶段，根本轮不到你的登录校验、CSRF 令牌出场。

受影响范围：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed——几乎所有让 PHP 跑 Web 请求的方式。修复版本：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。

安全公司 Wiz 直接把它的风险等级和 Heartbleed、Log4j 并列——那是互联网历史上最出名的两次"裸奔"。

这次漏洞的发现名单里，有一个新面孔：OpenAI 的 GPT-5.6 Sol 模型。研究员借助它定位了底层内存缺陷；Wiz 团队独立发现并上报了两个漏洞。发现之后，OpenAI 牵头拉上 Google、Cloudflare 和 PHP 维护者，秘密准备了两个月才把修复方案做扎实——OpenAI 的原话是："修复非常复杂，需要动 PHP 引擎的底层结构。"

听起来是个 AI 帮人类抓虫的好故事？看硬币的另一面：

防守方攒了两个月的先手，被攻击方不到一天抹平。AI 把挖洞、写扫描器、写 exploit 的成本打到接近零——攻防之间的时间差，第一次被机器碾平了。

出问题的代码路径，是 2012 年 PHP 5.4 时代就写下的。它们在全世界的服务器上安安静静躺了 14 年，没人觉得有问题——因为"能跑就别动"是这行几十年的默契。

以前这套默契能成立，是因为掀桌子的成本太高：找到一个藏在引擎底层的内存漏洞，需要顶尖专家泡几个月。老代码的坑不是不存在，是没人付得起挖它的价钱。

现在 AI 把挖掘成本打到接近零。更糟的是第二组数字：安全机构的统计显示，约 79% 的线上 PHP 跑的是早已停止维护的版本——这些服务器连补丁都不会有。

这就是"还债"的真正含义：不是 AI 制造了新债，而是它让所有赖账的老系统同时到期。PHP2Shell 只是第一张寄到的账单。

不管你写不写代码，这件事至少戳中三类人：

这个洞修补起来只要一条升级命令，但它暴露的问题，整个行业要还很多年。第一张账单已经寄到了。