PHP2Shell漏洞

【背景】PHP2Shell是PHP核心引擎中两个严重内存安全漏洞（CVE-2026-109618和CVE-2026-109619）的统称，CVSS评分高达9.2。这些漏洞允许未经身份验证的攻击者在WordPress、Drupal等广泛使用的平台上执行远程代码或泄露服务器内存数据。由于PHP支撑着全球约70%的网站，该漏洞影响范围极广。

事件始于2026年8月，安全公司Calif在OpenAI“Patch the Planet”计划支持下使用GPT-5.6 Sol模型，以及Google旗下的Wiz使用Gemini 4 Argon和自有工具，分别独立发现了同一组深层缺陷。经过约两个月的协调修复，PHP基金会于10月21日发布紧急补丁（版本8.5.12、8.4.27、8.3.36、8.2.35）。美国国家安全局（NSA）及多国政府机构发出警告，建议无法立即修补的系统下线。尽管Cloudflare等服务商提前部署了WAF缓解措施，但漏洞细节在补丁发布前已泄露，导致攻击尝试激增。目前争议焦点在于AI在发现此类长期潜伏漏洞中的实际作用及其双刃剑效应：一方面加速了防御方的发现能力，另一方面也被用于快速生成攻击工具。