人工智能发现PHP严重漏洞 全球约七成网站受影响

一种名为PHP2Shell的严重安全漏洞被人工智能工具发现，全球约70%的网站所依赖的PHP编程语言因此面临远程代码执行风险。PHP开发团队已于10月21日发布紧急安全补丁。该漏洞由两个独立缺陷构成，编号分别为CVE-2026-109618和CVE-2026-109619，严重程度评分均为9.2分（满分10分）。第一个漏洞源于PHP处理内存耗尽时的缺陷：当请求恰好在内存达到上限时中断，PHP可能将部分初始化的内部数据误判为有效数据，从而造成内存损坏。在Apache配合mod_php的部署环境中，未经身份验证的请求可在任何应用代码运行前触发该漏洞，研究人员已在默认设置下演示了完整的远程代码执行。第二个漏洞涉及异常终止后未正确重置的内部状态，同一进程处理后续请求时可能访问已被释放的内存，构成释放后使用（use-after-free）。漏洞由安全公司Calif的研究员瑞安·奥斯汀借助OpenAI的GPT-5.6 Sol模型在8月的一次PHP源代码审计中发现。该缺陷的根源多年前已被注意到，但一直被认为过于复杂、难以利用而未受重视。Calif首席执行官泰·杨表示，当前人工智能工具可使补丁分析速度远超人类，“推特上任何人都能拿补丁去跑AI，然后发布利用脚本，混乱将随之而来”。PHP基金会安全工程师沃尔克·杜施将该漏洞与十多年前的Heartbleed相提并论，称这是PHP十多年来面临的最严重安全问题。在补丁发布前，研究团队严格保密，约200个文件被修改，开发者编写了超过一万行代码。原定10月22日发布，但因Hacker News上出现泄露帖，团队决定提前一天，于21日欧洲中部时间16时发布。修复版本为PHP 8.5.12、8.4.27、8.3.36和8.2.35。PHP 8.1及更早版本已停止官方支持，不会获得修复。安全机构建议受影响的系统管理员立即升级，无法立即打补丁的应将PHP应用从公网隔离或部署Web应用防火墙规则。Cloudflare表示已在漏洞公开前约九小时部署防护规则，并观察到攻击流量试图绕过其防护。