人工智能发现支撑七成网站的PHP严重漏洞，修复历时两月

据Wiz Research，PHP支撑全球约百分之七十的网站，其核心引擎缺陷影响远超单一应用。周三研究人员披露两项借助前沿人工智能模型发现的严重漏洞，编号CVE-2026-109618与CVE-2026-109619，合称PHP2Shell，CVSS v4.0评分九点二。Calif.io借助OpenAI的GPT-5.6 Sol发现其一，Wiz用Wiz Atlas并结合谷歌Gemini 4 Argon与GPT-5.6 Sol独立发现两项；Cloudflare亦将Quarkslab列为披露方之一。问题源于PHP出错处理：内存耗尽或崩溃后可能留下已释放内存引用，同一工作进程处理的下一请求仍可能当作有效引用，从而被利用读取敏感数据或执行恶意代码，属释放后使用与类型混淆等内存安全缺陷。引擎用C编写，Wiz展示可在未登录情况下对WordPress、Drupal与Joomla执行代码，亦可泄露服务器内存。至少一项影响近十年所有PHP版本，部分脆弱代码可追溯至PHP 5.4；长期未被发现是因为需组合多处弱点。Wiz称一名研究员借前沿模型约一周完成昔日专家团队数月工作，视为「人工智能转折点」。Wiz称八月十九日发现首个漏洞，次日确认对Drupal未认证代码执行，二十一日演示WordPress，二十四日报告PHP安全团队；九月二十一日获确认并协调修复，补丁于披露当日周三发布。OpenAI亦提出应对人工智能加速发现安全缺陷的新框架。