AI数周揪出潜伏14年的PHP高危漏洞，老旧电商系统修复面临严峻挑战
近日，研究人员发现了PHP语言中的两个关键漏洞（PHP2Shell）。作为俄罗斯约90%网站使用的编程语言，其中一个错误潜伏了14年未被发现，但借助AI模型和智能体，仅在几周内就被成功识别。在修复此类漏洞时，拥有过时系统的在线商店可能面临最大困难，因为更新这些系统需要对软件进行重大改造。Nodul创始人兼首席执行官亚历山大·达尼洛夫（Alexander Danilov）介绍了这一问题的严重程度，以及哪些商店会受到影响，修复漏洞需要多长时间。
风险分布：中小商店受制于版本过时，大型平台困于架构复杂
对于中小型在线商店而言，主要风险在于使用过时的PHP版本且缺乏成熟的更新流程。据部分估算，约有一半的PHP网站运行在官方已停止支持的版本上。对这些网站的更新可能不仅仅是安装补丁，而是需要耗时数月的应用程序重构。大型在线商店和电商平台则因服务、集成和承包商数量众多而面临额外挑战，导致排查所有易受攻击组件所需时间更长。
修复周期：从几小时到数月不等，取决于自动化程度
漏洞修复的时间跨度可从几小时到几个月不等。拥有自动化更新流程的在线商店能够在几小时内完成补丁部署；采用手动管理更新的公司可能需要数天；而老旧系统的用户则可能需要数月时间。
漏洞影响：核心层缺陷波及广泛，WordPress与1C-Bitrix均受威胁
发现的漏洞之所以危险，是因为它们位于PHP核心层面，而非特定应用程序中。因此，包括WordPress和“1C-Bitrix”在内的不同平台上的在线商店都可能受到威胁。官方补丁仅适用于PHP 8.2至8.5版本。“1C-Bitrix”自2026年2月起要求使用PHP 8.2。最脆弱的群体是那些许可证过期但仍继续使用PHP 7.0或8.0-8.1版本的网站。彻底修复这些漏洞需要升级软件。
连带风险：Node.js漏洞Node2Shell危及企业集成服务
另一项通过AI发现的关键漏洞是Node.js中的Node2Shell。该漏洞与压缩数据处理有关，不仅影响公共网站，还可能波及企业集成服务和调用外部API的服务。由于电子商务涉及大量连接的系统（如支付、物流、库存管理及与外部平台的交互），这一问题尤为突出。对于不再受支持的软件版本，修复此类漏洞同样可能需要迁移到更现代的系统中。
安全警示：AI加速发现但未加速修复，响应速度成关键
人工智能显著加快了漏洞的发现速度，但并未加快漏洞的修复进程。研究人员可能在几周内就能发现一个错误，而攻击者则可能在信息泄露后的几小时内就发起大规模攻击。与此同时，电商平台仍需数天甚至数月才能更新过时的系统。因此，关键因素不仅在于是否具备防护手段，更在于企业能否快速定位易受攻击的组件并及时安装补丁。
为降低风险，电商平台需要记录所使用的软件版本及其依赖关系，自动化更新流程，并提前规划对过时系统的升级。随着用于漏洞发现的人工智能工具日益普及，响应速度已成为电子商务网络安全的关键因素之一。