PHP爆出严重漏洞，AI辅助挖掘引发全球紧急修补

全球政府、云服务商及网站运营方正在紧急应对核心Web编程语言PHP中发现的高危漏洞。在AI辅助安全研究人员发现相关漏洞后，PHP基金会（PHP Foundation）于10月21日发布紧急修复版本，并敦促所有PHP用户立即更新。OpenAI表示，其GPT-5.6 Sol模型在此次漏洞挖掘中发挥了关键作用。

这两个漏洞分别被标记为 CVE-2026-109618 和 CVE-2026-109619，合称为“PHP2Shell”，CVSS评分均达到9.2。攻击者可利用漏洞在未经身份验证的情况下，直接在服务器上远程执行代码。

官方已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中发布补丁。这些漏洞几乎波及自 PHP 5.4 以来的所有历史版本，而已停止支持的 PHP 8.1 及更早版本将不会获得官方修复。网络安全公司 Wiz 预估全球约 70% 的网站基于 PHP 运行，W3Techs 统计的数据则达 75%。

攻击激增，部分系统暂时下线

美国国家安全局（NSA）已建议无法立即打补丁的机构直接将相关系统离线。英国国家网络安全中心（NCSC）给出了类似建议，日本首相高市早苗也敦促网站所有者立即采取行动。包括维基媒体（Wikimedia）、芬兰政府、荷兰网络安全机构以及加拿大数个省份在内的多个组织已临时将受影响系统断网。

Cloudflare 首席执行官 Matthew Prince 表示，其网络拦截的漏洞利用尝试从漏洞披露前的数千次激增至“数百万次”。亚马逊表示在披露前数日就已成为攻击目标，但其系统保持正常运行。漏洞细节于10月20日提前泄露，导致官方将原定于10月22日的披露与发布计划提前了一天。此外，PHP基金会于10月23日提示了第三个风险较低的漏洞（CVE-2026-115560），该漏洞将在后续常规版本中修复。

AI在漏洞发现中扮演核心角色

OpenAI 透露，安全机构 Calif 通过其“Patch the Planet”项目并借助 GPT-5.6 Sol 发现了其中一个漏洞；Wiz 则独立发现并提交了全部两个漏洞。据报道，Wiz 在挖掘过程中综合使用了其自主研发的 Atlas 智能体、Gemini 4 Argon 以及 GPT-5.6 Sol 等多款 AI 工具。

OpenAI 总裁 Greg Brockman 指出，该缺陷已在 PHP 代码中潜伏长达 14 年，2024 年虽曾发现过一个有限版本，但未得到足够重视。OpenAI 称其为“近年来最具破坏性的漏洞之一”，并随后发布了 PHP 版本检测工具，同时承诺投入 10 亿美元补贴其 Daybreak 项目的访问成本。

开源维护面临结构性困境

针对 2024 年未能彻底解决该问题的情况，PHP 基金会承认这是因开源维护资源有限导致的“结构性失误”。基金会对媒体表示，目前尚未发现自身系统被成功利用的证据；但印度国家计算机安全响应小组（CERT-In）指出，多份监测报告显示野生环境已存在大规模利用行为。

澳大利亚新南威尔士大学（UNSW Sydney）研究员 Salil Kanhere 评价道：“底层缺陷并非新出现，真正改变的是我们现在凭借 AI 发现这些漏洞的能力。”