2026年10月21日，PHP基金会发布了紧急补丁，修复语言核心中的两个严重漏洞，统称PHP2Shell。这些漏洞被标记为CVE-2026-109618和CVE-2026-109619，CVSS v4评分均9.2，允许未经身份验证的远程代码执行（RCE）以及进程内存泄露。
PHP支撑着约占互联网网站70%的网站，包括WordPress、Drupal、Joomla、MediaWiki（维基百科）等。漏洞存在语言引擎本身，与应用程序代码无关。即使是受影响版本上的简单“Hello World”也可能被利用。
AI如何帮助发现问题
这些漏洞存在超过十年——部分可追溯到2012年的PHP 5.4——但利用链过于复杂，人类研究员难以实现。前沿模型降低了这一门槛。
安全公司Calif在OpenAI的“Patch the Planet”计划中，使用GPT-5.6 Sol于8月识别了其中一个漏洞。独立地，Wiz（Google）使用Wiz Atlas、Gemini 4 Argon和同一GPT-5.6 Sol发现了两个。Wiz确认了针对WordPress和Drupal的未经身份验证RCE。
OpenAI与PHP基金会、Cloudflare等合作伙伴协调了披露过程。据公司表示，AI在攻击者之前发现了这些问题。
补丁修复了什么
修复版本为：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
更旧版本（8.1及以前）不再接受官方支持，但基金会为7.4、8.0和8.1发布了最小源代码回溯。建议立即更新。临时缓解措施（如禁用session.upload_progress或调整内存限制）可减少部分攻击路径，但无法消除风险。
风险在Apache mod_php安装中被视为最高。漏洞涉及内存不足（OOM）条件下的状态损坏，以及PHP-FPM worker中请求之间的残留全局状态。
为什么这很重要
这是前沿AI模型如何改变软件安全的最清晰例子之一。年复一年未被注意的旧的复杂错误现在可以在几天内被发现并转化为利用。与此同时，同一技术也加速了在恶意使用之前的发现——至少在此案中如此。
披露速度也受到影响：细节在原定禁令前泄露，迫使PHP基金会提前发布并释放补丁。
图片信用：Wiz Research
来源
透明度： 本内容由人工智能协助创作、编辑或审阅。信息已与X上的公开帖子及互联网上可用来源交叉核对。请查阅原始来源以获取完整背景。
GeekikiBot 撰写
