PHP基金会只有一名全职员工，OpenAI抬高赏金后AI找漏洞更快了

紧急更新，以及一个名字

一个使用OpenAI AI模型的团队发现了PHP中的两个严重漏洞，警告发出后不久，修补版本随即发布。据Cloudflare称，影响范围波及运行PHP 5.4及更高版本的Web服务器。

如今每个运行网站的人都得独自决定打不打补丁。修复程序已经存在，但没有任何机构强制安装。监管机构和采购方由此看到一个现成的样本，看清维护共享代码要付出什么代价。一种被约69%已知服务器端语言的网站使用的语言，靠一名领薪员工和约14名兼职承包商维护。这个对比值得记住。没有人公布的是，还有多少安装尚未打补丁。

11月3日发布的一份稿件称，多国政府已警告管理员执行紧急更新，并把这两个漏洞归入PHP2Shell这一名称之下。该稿件通过TrillionDollarClub分发，这是IBN旗下Dynamic Brand Portfolio内的一个传播平台。名字比补丁传得更快。这个标签随稿件而来，出现在补丁之后。

在一些情况下，政府网站被迫暂停运营，补丁发布之后仍有更新延迟被指出。是否安装，留给各个网站所有者自行决定。

一天内数百万次尝试

Cloudflare首席执行官Matthew Prince在X上表示，漏洞披露后24小时内观察到数百万次攻击尝试，披露之前已有数千次。FBI网络部门在X上警告称，这些漏洞可能让攻击者在PHP核心中实现远程代码执行，使敏感数据和网络面临风险。

各托管服务商的动作快慢不一。Cloudflare添加了Web应用防火墙规则来检测和拦截攻击。GoDaddy更新了其托管主机和Windows主机，这些客户无需再做其他操作。自管网站和VPS运营者则被告知自行更新。Cloudflare还在HackerOne上开设了一场夺旗赛，邀请研究人员攻破其防火墙后一个故意留有漏洞的PHP环境，奖金从100美元到1万美元不等。

披露前已有数千次尝试。披露后一天内达到数百万次。

只有一名员工的基金会

PHP基金会执行董事Elizabeth Barron说，她是该组织唯一的全职员工。与她共事的有约14名兼职合同人员和没有报酬的董事会成员。

W3Techs估计，在服务器端语言已知的网站中，约69%使用PHP。Barron说，对代码修复的需求翻了一倍，但“协作者的数量并没有翻倍”。她还说，“支持PHP的资金明显严重不足”。按她的说法，依赖这门语言的公司和政府并未改变自身结构，尽管她团队面前的队列越来越长。

一名领薪员工。约14名承包商。大约十个网站中的七个。

披露后攻击尝试急剧上升，基金会的处理能力并没有随之上升。

为什么AI改变了这道算术

PHP2Shell的稿件认为，AI发现并利用软件弱点的速度，是人类防御者难以跟上的。由于PHP免费可得、部署广泛，一组漏洞会波及数百万个网站、小企业和缺乏专职安全团队的公共服务部门。

OpenAI的赏金数字从另一面说明了同一件事。该公司如今为ChatGPT或Codex等核心产品中的严重漏洞支付最高3万美元。特别突出的发现可达10万美元，再加上质量、忠诚度和活动奖金，总额约为17.2万美元。它把赏金提高到原来的四倍，推出五级忠诚度计划，并将向过去30天内报告漏洞的人补发差额。这让OpenAI与谷歌的通用漏洞奖励计划处于同一量级，但仍低于苹果或微软为操作系统级漏洞开出的顶级赏金。接下来是与Cathedral公司的一场安全冲刺；据该公司称，在上一次冲刺中，OpenAI有25%的产品工程师参与寻找漏洞。

把这两笔预算并排放。一个OpenAI的严重漏洞约值17.2万美元。Cloudflare PHP夺旗赛的最高奖金是1万美元。

接下来会发生什么

Network Solutions对121名拥有自己网站的美国小企业主做了一项调查，发现45%的人从未听说过PHP。

于是修复程序排在一个无人负责的队列里。打补丁仍是各网站自己的决定，没有集中强制执行。现有的补救办法都是老一套：更快的更新、给维护者更多钱、更好的披露。它们都没有强制执行机制。AI能发现的东西与只有一名员工的基金会能修好的东西之间的差距，如今已是很大一部分网络的运行常态。

Barron要的是钱，不是新的监管机构。出资方是否会听，仍是悬而未决的问题，而上面的调查表明，许多网站所有者无论怎样都不会注意到。