一個漏洞在互聯網中隱藏了10年，直到AI向駭客展示了如何利用它。 存放你資料的網站可能十年來都敞開著大門，而AI剛剛找到了門把。 攻擊者無需使用者名稱或密碼，只需一個精心設計的請求，一個未修補的伺服器就會落入他們手中。 這個漏洞被稱為「PHP2Shell」。據報導，研究人員使用了一個先進的OpenAI模型，終於破解了這個困擾專家多年的漏洞。 以下是它在通俗英文中的含義，以及在他人對你使用之前該如何應對。 PHP 是默默運行 WordPress 網站、線上商店、政府入口網站、支付頁面以及眾多加密貨幣專案網站的引擎。 在伺服器語言已知的網站中，約有 7 成運行於 PHP 之上。 這兩個漏洞存在於 PHP 本身，而非建立在其上的網站。攻擊者發送正確的請求，即可在伺服器上執行自己的指令。 從那裡，他們可以竊取客戶資料、安裝惡意軟體、使網站離線，或將該伺服器作為進入網路其他部分的入口。 AI 部分才是真正的重點，以下是我的分析：如果 AI 能將舊漏洞轉化為實際攻擊，從發現到造成損害的時間已大幅縮短。 當局已將其視為嚴重威脅。據報導，FBI 正敦促無法修補的網站下線，而一個國家級網路安全機構已給所有政府機構 7 天時間修補並回報。 如果你只是上網瀏覽，造訪一個 PHP 網站並不意味著你已被駭。真正的風險在於你的個人資料仍存放在尚未修補的網站上。 對於加密貨幣使用者而言，被劫持的專案網站無需直接接觸你的錢包；它只需替換一個腳本，讓你信任的「連接錢包」按鈕導向用於清空你資產的程式碼。 修補方案已經存在。PHP 專案已發布修補版本： 8.2.35 8.3.36 8.4.27 8.5.12 如果你運行網站，請遵循以下檢查清單： 1. 找出所有運行 PHP 的網站和伺服器，包括你的主機或開發商為你管理的網站。 2. 將 PHP 更新至修補版本並重新啟動。僅更新主題或外掛並無作用。 3. 如果今天無法修補，請將網站下線直至完成修補。 4. 檢查日誌、未知管理員帳戶和被修改的檔案，確認是否已有人入侵。 5. 從你的主機或開發商取得書面確認，證明修補已生效。 請忽略任何提供「PHP 安全更新」或索要密碼與付款的訊息。真正的修補永遠不會出現在你的私訊中。 AI 已將隱藏漏洞與實際攻擊之間的時間差縮短至大多數公司修補所需時間之下。那些仍在等待的人，已經落後了。