约七成网站的底层语言 PHP，同一个星期里被捅出两个窟窿。美国国家安全局（NSA）为此发出警告，而这两个漏洞并非新东西——它们从 2004 年的 PHP 5 时代就已经埋下，在无数台服务器里安静躺了将近二十年。
PHP Foundation 已经发布补丁，动作算快。但这类漏洞的可怕之处不在技术复杂度，而在覆盖面：从个人博客到银行后台，跑的是同一套解释器。更值得琢磨的是它们怎么被翻出来的。OpenAI 的模型与 Google 旗下 Wiz 的研究人员把成堆的老代码重新过了一遍筛子。机器比人有耐心，也更擅长在几十万行遗留代码里闻出不对劲的味道。二十年攒下的技术债，被几周的算力结了账。
不过补丁发布从来不等于问题解决。PHP 的维护长期靠志愿者和少数企业捐助撑着，PHP Foundation 本身就是为填补这个缺口而成立。真正决定这次事故规模的，不是漏洞评级，而是下周有多少台服务器真的跑完了升级流程。开源基础设施的脆弱性极少写在代码里，它写在更新链条上——那条链条上挂着太多没人登录、没人负责、也没人记得的机器。
