PHP 引擎中的严重漏洞利用人工智能威胁全球 70% 的网站

安全研究人员宣布在 PHP 编程语言引擎中发现了两个严重漏洞。根据研究公司 Wiz 的报告，PHP 是全球约 70% 网站的基础。这两个漏洞被标记为 CVE-2026-109618 和 CVE-2026-109619，统称为 PHP2Shell，其 CVSS v4.0 严重性评分达到 9.2。

Calif.io 公司利用 OpenAI 的 GPT-5.6 Sol 模型发现了其中一个漏洞，而 Wiz 公司则通过 Wiz Atlas 工具，在谷歌的 Gemini 4 Argon 模型和 GPT-5.6 Sol 模型的协作下，独立发现了这两个漏洞。Cloudflare 的报告还指出，Quarkslab 等其他安全机构也参与了这些软件缺陷的发现工作，这些缺陷在不同版本的 PHP 中已存在超过十年。

潜伏十年的安全缺陷

问题的根源在于 PHP 引擎处理错误的方式；当某个程序请求崩溃或内存耗尽时，引擎可能会留下已释放内存的引用（Use-After-Free）。随后由同一工作进程处理的请求可能会将这些引用视为有效。

研究证明，攻击者可以利用这种行为以及类型混淆缺陷，在无需登录的情况下，对 WordPress、Drupal 和 Joomla 等流行平台上的敏感数据进行访问或远程执行恶意代码。研究人员证实，部分受影响的代码可追溯至 PHP 5.4 版本。这些缺陷之所以多年未被发现，是因为将多个弱点组合起来发起成功攻击的难度极高，而人工智能在短短几天内加速了这一发现过程，发挥了关键作用。

响应速度与补丁发布

修复工作始于 Wiz 在 8 月 19 日发现第一个漏洞，并确认其能够在接下来的几天内对 Drupal 和 WordPress 执行代码。PHP 安全团队于 8 月 24 日收到正式通知，并在与 Cloudflare、Google Cloud、AWS、Microsoft 和 Akamai 等大公司进行密集协调后，于 10 月 21 日发布了修复版本。

对开发人员和系统管理员的实际影响

PHP 已经发布了开发团队和系统管理员必须立即更新的安全版本，即：PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。如果依赖 Linux 发行版或托管服务提供商，建议咨询供应商以确认是否已应用反向移植（Backporting）更新。

此外，OpenAI 提出了一个处理人工智能所发现漏洞的五阶段主动框架，包括验证、通过模型进行高级测试、向分销商和提供商逐步分发数据，直至覆盖政府机构和关键基础设施。该公司还提供了一个用于本地扫描 PHP 版本的工具，以检查是否存在脆弱版本，并提醒 Web 应用防火墙（WAF）等保护工具仅作为临时防御层，不能替代服务器上代码的实际更新。