PHP重大漏洞
3 节点1 篇8 来源
【背景】PHP作为支撑全球约70%网站（包括WordPress等主流CMS）的服务器端语言，其核心引擎近期曝出两个CVSS评分高达9.2的严重安全漏洞（CVE-2026-109618与CVE-2026-109619），统称为“PHP2Shell”。这些潜伏超过二十年的内存安全缺陷允许未经身份验证的攻击者远程执行任意代码或窃取敏感数据。
此次事件由OpenAI、谷歌旗下Wiz及安全公司Calif利用前沿AI模型独立发现并协同披露。美国国家安全局（NSA）、欧盟CERT-EU及日本IPA等多国机构紧急发出警告，指出若无法立即修补，建议将相关网站暂时下线以规避风险。尽管目前尚无野外大规模利用的报告，但概念验证代码（PoC）已公开，黑客利用门槛因AI辅助而大幅降低，互联网正面临一场紧急的“补丁竞赛”。
事情怎么走到这一步
安全公司Calif在OpenAI的“Patch the Planet”计划中开始审计PHP，并于8月11日报告了与OOM相关的无条件远程代码执行漏洞。
thephp.foundation ↗谷歌旗下的Wiz团队独立使用AI工具发现了PHP中的多个漏洞，并与OpenAI、Calif共同向PHP维护者报告。
wiz.io ↗PHP基金会发布PHP 8.5.12、8.4.27、8.3.36和8.2.35版本修复漏洞；美国NSA、欧盟CERT-EU等机构同步发布高危警告。
techcrunch.com ↗
还没定论的部分
- 针对PHP 8.1及更早停止支持版本的官方最小化源码回补包的实际部署覆盖率如何？
- 在PoC公开后的一周内，是否会出现针对未修补服务器的自动化扫描或实际攻击流量激增？
- OpenAI提出的“防御者窗口期”框架能否被其他开源项目广泛采纳以应对AI驱动的安全威胁？