当互联网真被打成筛子
内容提要
文章指出，近期PHP、GitLab、Node.js、虚拟化平台及AI工具接连曝出严重漏洞，影响范围极广。作者认为，AI使漏洞挖掘与利用趋于批量化，停止维护的软件一旦联网便毫无防护。危机将倒逼老旧系统升级，但根本出路在于保持基础设施可随时升级打补丁，或彻底断网隔离。
延伸解读
AI 让漏洞利用进入“流水线”时代
文章指出，AI 不仅加速了漏洞挖掘，还让补丁比对变得极其高效。攻击者无需从头挖掘 0-day，只需拉取公开的修复记录，用 AI 反向生成利用代码，就能对未升级的旧实例批量攻击。这意味着停止维护的软件不再是“静止”的，而是会以肉眼可见的速度腐烂成公开后门。防御方必须意识到，攻防节奏已被 AI 彻底改变。
老旧系统升级：契机与陷阱并存
作者认为，这波危机将倒逼大量历史遗留系统更新，短期对安全工程师需求反弹。但升级本身不是终点：如果新选用的组件同样缺乏维护，两年后可能重蹈 PHP 的覆辙。真正的教训是，升级必须选择有持续维护、能平滑打补丁的技术栈，否则只是把旧债换成了新债。
断网隔离是唯一例外，但非长久之计
文章明确，停止维护的软件若处于物理或网络隔离环境，继续使用并非不可。然而一旦联网，在自动化扫街的攻击面前，旧版本几乎等于裸奔。对于绝大多数联网业务，断网隔离并不现实，因此根本出路在于保持基础设施具备随时升级、随时打补丁的机动能力，而非依赖静态防御。
维护者的价值正在被重新定价
作者以自身维护 MinIO 社区分支 Silo 为例：半年修复 20 多个安全漏洞，项目获得 4000 Star 和 400 万下载。这反映出一个现实——在漏洞批量化爆发的环境下，一个没有花哨新功能、只持续提供安全补丁的维护版本，反而成为最硬的刚需。过去被视作“免费空气”的修 Bug、打补丁工作，其价值正被危机重新凸显。
Q&A
最近互联网上出现了哪些严重的安全漏洞？
文章提到近期多个严重漏洞：PHP远程代码执行漏洞PHP2Shell1（CVE-2026-109618/CVE-2026-109619，CVSS 9.2），无需登录即可执行任意代码；虚拟化平台漏洞CVE-2026-99999影响主流虚拟机厂商；Node.js修复包括RCE在内的十余个漏洞；GitLab六周内第三个CVSS 10.0满分漏洞（CVE-2026-110264），影响2014年以来的自建实例；AI工具链中LiteLLM被投毒、OpenCode Console遭入侵泄露API Key；印度CA机构eMudhra的8个中级根证书私钥沦陷。
为什么说停止维护的软件连网就等于裸奔？
因为开源项目的每次安全修复，其Commit记录和代码变动都是全网公开的。在大模型能力下，攻击者无需从头挖0-day，只需拉取最近的漏洞修补记录，用AI跑一遍补丁比对（Patch Diffing），几分钟就能反向生成全套利用代码，然后对全网未升级的旧实例进行自动化扫描攻击。因此停止维护的软件会以肉眼可见的速度腐烂成公开的后门。
AI在漏洞挖掘和利用中扮演了什么角色？
AI使漏洞挖掘与利用趋于批量化。过去需要顶级安全研究员熬几个月才能抠出来的逻辑漏洞，现在正被流水线式地批量批发。攻击者可以利用AI快速比对补丁、反向生成利用代码，对未升级的实例进行自动化扫街。攻防两端都用上AI后，Bug Report和安全漏洞层出不穷，维护者需要高强度审代码、打补丁。
这波安全危机对老旧系统会有什么影响？
危机会强行推动大量历史遗留系统（Legacy Systems）的更新与升级。文章认为这是好事，因为世界上跑着太多“只要不崩就绝对不动”的祖传系统，如CentOS 7.9甚至5.4、PostgreSQL 9.1等。平时讲技术债、EOL风险没人当回事，但全行业“大地震”会倒逼大家翻新底座。不过根本出路在于保持基础设施可随时升级打补丁，或彻底断网隔离。
面对AI驱动的攻击，基础设施的根本出路是什么？
文章指出，任何停止演进的静态防御都是纸糊的。根本出路有两条：要么让你的基础设施拥有随时平滑升级、随时打补丁的机动能力；要么就彻底切断它与公网的物理连接。留给那些“万年不升”的祖传系统的时间不多了。
为什么PHP漏洞每次爆发都格外惨烈？
因为全世界有无数跑着老旧PHP版本的野生网站和历史系统，早就处于无人维护、无法平滑升级的停滞状态。一旦底层爆出RCE，它们连打补丁的能力都没有，只能排着队等死。
维护开源分支Silo半年来的漏洞修复情况如何？
作者接手MinIO社区维护分支Silo后，在短短半年时间里修了20多个安全漏洞和几十个Bug缺陷。该分支没有花哨新功能，仅提供持续的安全补丁和更新，却获得了4000 Star和400万下载，说明“有人还在替你守着底座、持续发补丁”是硬刚需。
