Wiz 报告 PHP2Shell：AI 使十年未解的 PHP 核心内存漏洞变为可远程利用

Wiz Research 联合 Google DeepMind、OpenAI 及 Calif 发现并修复了 PHP 核心引擎中两个严重内存安全漏洞（CVE-2026-109618 和 CVE-2026-109619），CVSS 评分高达 9.2，影响过去十年发布的几乎所有 PHP 版本（包括 5.4）。这些漏洞允许攻击者在无需认证的情况下执行远程代码或泄露进程内存中的敏感数据，且不受上层应用代码保护的影响，波及 WordPress、Drupal 等广泛使用的 Web 平台。

此次突破的关键在于前沿 AI 模型大幅降低了利用复杂内存缺陷的技术门槛。研究人员使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 在数小时内完成了原本需要世界级团队数月才能实现的漏洞链构建与适配工作。Gemini 4 Argon 在发现漏洞、开发攻击载荷及验证补丁方面发挥了核心作用，证明了 AI 能将长期潜伏但难以利用的架构缺陷转化为实际威胁，同时也加速了防御方的修复进程。2026 年 10 月 21 日，PHP 官方发布了包含修复补丁的版本，同时多家云厂商与合作伙伴提供了临时缓解措施。

事实层面，该事件标志着 AI 在网络安全领域的转折点，即“发现”与“利用”的经济成本结构发生根本变化；推断层面，这意味着未来更多依赖复杂内存布局假设的遗留系统将面临更高的被自动化攻击风险；猜测层面，此类基于 AI 的自动化漏洞挖掘可能成为行业标准流程，迫使软件供应链从被动修补转向系统性预防。