AI发现了有史以来最严重的网络漏洞之一 70%的网站被影响

10月21日，安全公司Wiz与Calif披露一个名为PHP2Shell的PHP高危漏洞。

据披露，Calif研究员Ryan Austin在GPT-5.6 Sol辅助下审计PHP源代码时发现该漏洞。Wiz研究团队使用Google的Gemini 4 Argon和OpenAI的GPT-5.6 Sol，配合Wiz自有Atlas系统，在不到一周时间内将缺陷串联为可工作的利用链。

Wiz在博客中称，借助前沿AI模型和合适工具，一名研究者一周内完成的工作，此前需要一个世界级团队花费数月。

PHP项目安全工程师Volker Dusch称，这是PHP十多年来最严重的安全事件，并将其与2014年的Heartbleed漏洞相提并论。研究者警告，PHP2Shell在技术上具备蠕虫化可能，即漏洞利用可自我复制并自动传播。

PHP2Shell包含两个漏洞编号CVE-2026-109618与CVE-2026-109619，在CVSS v4.0评分中均达到9.2分，属“严重”级别。

据Wiz介绍，漏洞存在于PHP引擎处理内存和致命错误后的全局状态中，未经认证的攻击者可通过发送特制请求在服务器上执行任意代码。Wiz表示，这些漏洞独立于运行在PHP之上的应用，WordPress、Drupal、Joomla、Magento等主流建站系统均处于风险覆盖范围。

Calif公司CEO Thai Duong表示，该底层缺陷早在几十年前就被研究者指出，但当时被认为利用难度过高，逐渐被遗忘。

Wiz研究者称，底层缺陷已存在几十年，但要证明其可利用性需要异常复杂的步骤链，处于人类研究者实际能够达到的边缘。OpenAI在博客中表示，PHP2Shell凸显了AI如何发现具有互联网规模影响的安全缺陷。

由于PHP驱动全球约70%的网站，该漏洞的影响范围覆盖大量政府、企业和开源建站系统。PHP官方同日发布紧急补丁，多个国家的政府网站一度下线。

10月21日，荷兰、芬兰、法国政府网站率先下线，澳大利亚政府网站同样离线，部分站点数小时内未恢复。PHP官方发布8.5.12、8.4.27、8.3.36和8.2.35版本修复漏洞。

美国国家安全局、FBI、英国国家网络安全中心及欧盟网络安全机构敦促用户立即更新或下线系统。

Cloudflare CTO在补丁发布前几小时观察到早期攻击尝试。安全公司watchTowr报告称，有人正使用AI辅助编写的工具发起攻击。Thai Duong在补丁发布前警告，攻击者可能获取补丁并用AI快速逆向出利用脚本。

截至目前，PHP官方补丁已发布，相关机构敦促管理员尽快升级受影响系统。