PHP 官方确认了两个评分高达 9.2 的底层内存严重漏洞（CVE-2026-109618 与 CVE-2026-109619），其中一个被命名为 PHP2Shell。攻击者无需认证即可远程接管服务器，而 PHP 支撑着全球约七成网站，影响面堪称近年来最大。
发现过程本身是一次 AI 能力的展示：OpenAI 合作伙伴 Calif 在其 GPT-5.6 Sol 模型协助下于 2026 年 7 月独立发现漏洞；Google 收购的安全团队 Wiz 也独立挖到了相关问题。两边找到同一目标后，经协调统一披露，PHP 维护方在 OpenAI、Wiz、Cloudflare 等支持下提前准备好补丁才对外公布。
此次修复规模惊人：补丁涉及近 200 个文件、超过 1 万行代码。Censys 监测数据显示，披露后不久，260 万台被监测主机中约 150 万台尚未打补丁，欧洲多国政府机构甚至采取了预防性下线措施，荷兰鹿特丹港、比利时外交部和芬兰政府等相继暂停服务。
OpenAI 在 10 月 21 日的博客中称这是近期记忆中最具影响力的安全问题之一，并表示前沿 AI 在攻击者之前发现了这些漏洞，为维护者和安全厂商争取到了防御窗口。同时它也警告，同样的能力也能帮助攻击者快速开发攻击工具。
PHP 基金会敦促所有用户立即更新。网站管理员应尽快升级到修复版本，补丁发布之刻也是攻防竞赛的起点——防守方要完成测试部署，而攻击者正在扫描仍未修复的服务器。
评论（0）
暂无评论