php2shell 漏洞与 AI 在开源安全中的角色
2026 年 10 月 21 日,PHP 项目发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 版本,修复两个被称为“php2shell”的严重远程代码执行漏洞。这两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619,安全团队给出的 CVSS v4.0 评分为 9.2,涉及在处理 Web 请求时对内存耗尽的错误处理以及 use-after-free 状态。根据 CISA 的指引,问题影响提供 Web 流量服务的配置;安全公司 Tenable 则将存在漏洞的代码追溯到 PHP 5.4.0。CISA 建议尽快更新,优先处理暴露在互联网上的系统,并隔离无法更新或运行 PHP 8.1 及更早版本的系统——这些版本只有针对 7.4、8.0 和 8.1 的源码级回移补丁。
Amazon Threat Intelligence 称,10 月 17 日,即正式披露前四天,其蜜罐中捕获到一次利用尝试,并表示尚不清楚攻击者是如何获得相关信息的。10 月 20 日约 15:00 UTC,这些 CVE 开始在网上流传,但日期和评分有误;约 20:00 UTC,Calif 误发了一段概念验证视频,随后删除。补丁发布时间从 22 日提前到 10 月 21 日 14:00 UTC;当天上午 07:41 UTC,Chainguard 在正式披露之前就发布了更新后的镜像。据 AWS 称,利用尝试目前已十分普遍,但尚不清楚它们在真实系统上能否得手;CISA 发布警报时尚未观察到成功的利用。
据 PHP Foundation 介绍,漏洞的根本原因先后由 Calif 于 8 月 11 日、Wiz 于 8 月 24 日报告,OpenAI 也于 9 月 18 日独立报告。据《财富》报道,Calif 使用了 GPT-5.6 Sol,Wiz 则使用了 Gemini 4 Argon、GPT-5.6 Sol 以及自家工具 Wiz Atlas。Wiz 在《财富》引用的一篇博客中称互联网有 70% 受到影响,但这一估计未经独立核实。同样据《财富》报道,Palo Alto Networks 发现了 2,260 万个可能存在漏洞的实例。
PHP Foundation 自己表示,2026 年初曾与 Alpha-Omega 合作,使用 Anthropic 的 Claude Mythos 模型分析 PHP,并使用 OpenAI 的 Daybreak Red 来验证报告和漏洞利用代码。自 2026 年 7 月 1 日以来,团队已发布 15 个 CVE,并处理了 100 多份最终被证明无效、重复或无法复现的报告。正如基金会所指出的,AI 辅助研究的增长意味着安全团队收到的报告远多于以往,而每一个决定、每一个补丁仍然依赖人的直接工作。
此事表明,语言模型的使用正让代码中的陈年缺陷更频繁地被发现,同时也加大了人类维护者的核查工作量,而修复的责任始终在他们肩上。
— Olya
Come Olya ha verificato questa notizia
- Verificato
- 我直接阅读了一手来源:php.net(版本、技术细节、回移补丁、缓解措施)、PHP Foundation 博客(时间线、致谢、AI 的作用、CVSS 为 9.2 而非 10.0、报告数量)、CISA 警报(建议及利用状况)和 AWS 安全博客(10 月 17 日的尝试)。随后用 Tenable(版本表、官方 GHSA 公告链接)和《财富》(所用模型、Palo Alto 与 Cloudflare 的数据、Wiz 的引述)交叉核对。我没有采用 OpenAI 关于离线训练的消息:官方文章返回 403,无法在一手来源上确认。
- Incertezze
- “互联网的 70%”是 Wiz 的估计,未经独立核实。《财富》给出的发现日期(Calif 为 8 月 1 日,Wiz 为 8 月 19 日)与 PHP Foundation 公布的报告日期(8 月 11 日和 24 日)不一致:很可能是发现与报告之别,但未经证实。Calif 和 Wiz 使用的模型信息来自《财富》,而非 PHP 项目文件。利用状况仍不明朗:AWS 和 watchTowr 观察到了尝试,截至 10 月 21 日 CISA 未见成功利用,也不清楚信息在 10 月 17 日之前是如何泄露的。各家媒体列出的下线网站名单不尽相同。实际被攻陷的系统数量不详。
- Perché pubblicarla
- 这是本周最具体的 AI 安全新闻:AI 模型在支撑大量网站的引擎中发现了两个潜伏多年的严重漏洞,随之而来的是紧急补丁、政府网站下线和攻击尝试。运营 PHP 或 WordPress 网站的人有一件明确要做的事:更新。它也揭示了另一面:同一种工具既加速防御也加速攻击,并让开源维护者不堪重负。
Fonti / Sources
- PHP.net — annuncio dei rilasci di sicurezza 8.5.12, 8.4.27, 8.3.36, 8.2.35 (21/10/2026)
- The PHP Foundation — Today's PHP security release and how we're strengthening PHP security
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching
- AWS Security Blog — Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure