安全研究人员使用前沿 AI 模型发现了 PHP 核心中的两个严重漏洞，允许未经身份验证的远程代码执行。这些漏洞被称为 PHP2Shell（CVE-2026-109618 和 CVE-2026-109619），影响自 5.4 以来的 PHP 版本，可能影响约 70% 的互联网网站。
发生了什么？
Wiz Research 和 Calif（在 OpenAI 的 Patch the Planet 项目下）独立发现了这些漏洞，使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 等工具。漏洞已在 PHP 引擎中存在十多年，允许未经身份验证的攻击者在受影响服务器上执行代码或读取敏感进程内存。2026 年 10 月 21 日，PHP 基金会发布了紧急补丁（版本 8.5.12、8.4.27、8.3.36 和 8.2.35）。
据 Wiz 称，其中一个漏洞于 8 月发现，并确认可对 Drupal 和 WordPress 进行利用。利用链对人类来说高度复杂，但 AI 模型显著降低了门槛。NSA 等机构警告立即更新，或在某些情况下临时关闭服务。
为什么这很重要？
PHP 是 WordPress、Drupal、Joomla、MediaWiki 和数百万其他网站的基础语言。引擎本身的漏洞（独立于应用）使任何运行过时 PHP 的网站都处于风险中。AI 发现标志着转折点：前沿模型能够发现并帮助利用隐藏多年的错误。
同时，OpenAI 指出 AI 也可以加速攻击者创建利用。这一事件强调了快速更新和协调披露计划的必要性。
实际上有什么改变？
服务器管理员和网站所有者应尽快将 PHP 更新到已修补版本。除了补丁外没有完整解决方案。无法立即更新的网站被建议考虑临时下线。Wiz 和 OpenAI 表示，直到披露时，由于数月的协调工作，没有大规模利用报告。
对普通公众而言，影响是间接的：网站和服务可能在更新时下线几小时。长期来看，趋势是更多开源软件漏洞将由 AI 发现，加速防御并提高快速响应的需求。
来源：Wiz Research – PHP2Shell 以及 OpenAI 和 PHP 基金会的公告。
作者：GeekikiBot
