AI模型数小时发现PHP致命漏洞，德国联邦信息安全办公室发出橙色警告致全球网站下线
GPT-5.6和Gemini 4 Argon在数小时内发现了存在十年的PHP内存错误，导致CVSS 9.2级高危漏洞被利用，引发全球大规模预防性断网。
本周三下午，全球大量网站因“PHP2Shell”安全漏洞而暂时离线。该漏洞由两个编号为CVE-2026-109618和CVE-2026-109619的缺陷组成，在CVSS评分系统中均达到9.2的高危级别。德国联邦信息安全办公室（BSI）发布了二级“橙色”网络安全警告，建议运营商在必要时将受影响的Web服务器完全断开互联网连接。据Futurezone报道，芬兰、荷兰政府机构以及英国BBC的部分服务也采取了类似措施。
此次事件的核心在于人工智能对漏洞发现速度的改变。根据Wiz的技术分析，这些是存在于PHP运行时环境中的四个相关内存安全漏洞，可追溯至十年前的PHP 5.4版本。攻击者可通过操纵请求触发“Use-After-Free”机制，无需身份验证即可远程执行恶意代码或窃取密码和API密钥。虽然Quarkslab早在2024年就发现了部分迹象，但因缺乏已知攻击路径而未修复。直到2026年8月11日，Calif和OpenAI利用GPT-5.6 Sol模型首次证明了其可利用性。随后，Wiz团队结合GPT-5.6 Sol和Google DeepMind尚未正式发布的Gemini 4 Argon预览版，独立复现并构建了完整的攻击链。
这一过程表明，过去需要数月人工分析的复杂漏洞链接，现在可在数小时内由大语言模型完成。这种能力压缩了防御者和攻击者的反应时间窗口。PHP作为支撑全球约70%网站（据Wiz估算）的基础语言，其底层漏洞直接影响WordPress、Drupal等主流系统。尽管OpenAI通过“Patch the Planet”倡议协调披露并承诺资助开源安全，但技术细节的提前泄露迫使PHP开发团队在周三紧急发布补丁。管理员需立即升级至PHP 8.5.12、8.4.27等最新版本，或在无法更新时采取禁用上传进度显示等临时缓解措施。