AI辅助的php2shell漏洞利用链冲击PHP运行时，迫使覆盖70%网络的协同防御

PHP核心运行时中的两个严重漏洞已存在十多年，但直到借助前沿AI模型才被证明可利用，于2026年10月21日由Calif.io、Wiz、OpenAI和Quarkslab公开披露。漏洞编号为CVE-2026-109618和CVE-2026-109619，统称php2shell，CVSS v4.0评分为9.2，影响从5.4起的所有PHP版本；PHP同日发布补丁。这些漏洞允许未认证远程代码执行、内存泄露、拒绝服务和数据暴露，条件是在服务器处理特制HTTP请求时触发。由于缺陷位于PHP运行时本身而非任何应用或插件，运行其上的WordPress、Joomla、Drupal和Magento等平台均面临风险。Wiz Research表示，这些内存安全漏洞已存在数十年，但利用需要极其复杂的步骤，处于人类研究人员实际能力的边缘；前沿AI模型大幅降低了门槛。Cloudflare与PHP基金会、OpenAI和Wiz合作，自2026年10月初开始开发WAF防护，并于10月21日UTC 3:02为所有免费和付费WAF客户默认启用，约在公开披露前九小时。Cloudflare CTO Dane Knecht表示，早期攻击已出现，标准基于请求的WAF规则不足；php2shell防护是其首个使用完整事务检测的托管检测，结合请求和响应信号。PHP于10月21日UTC 14:00发布安全更新，管理员必须更新PHP运行时本身——仅更新网站代码或插件无法修复该漏洞。

(来源：Vector Wire)