PHP2Shell：AI 缩短漏洞验证时间，补丁日复现五条 RCE 路径
- 前情提要：PHP 官方于 10 月 21 日发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619，两项漏洞严重度均为 CVSS 9.2；Cloudflare 在公开披露前部署 WAF，协调披露过程中 CVE ID 与 PoC 曾提前流出。
- 最新复盘：InfoQ 梳理的时间线显示，2024 年 PHP 基金会外部安全审计后已注意到内存耗尽处理隐患，但因兼容性、性能与核心人手不足而搁置；2026 年 8 月，Calif 使用 GPT-5.6 Sol 发现可利用路径并报告，OpenAI 同日独立报告同一根因，Wiz 使用 Wiz Atlas、Gemini 4 Argon 与 GPT-5.6 Sol 独立验证，并在 Drupal、WordPress 环境确认未认证 RCE。
- 补丁日复现：10 月 21 日补丁发布当天，安全研究者 Qi Deng 发布技术文章，称花费约 24 小时搭建环境并逐行审查 PHP 源码，发现五条可能实现远程代码执行的路径，其中包括不在此前泄露 PoC 中的攻击思路。
- AI 的实际贡献：复盘指出，AI 并未自主完成漏洞发现与修复，而是帮助研究人员关联跨模块、跨请求的状态变化，缩短从“发现异常”到“证明可利用”的时间；360 专家判断，短期攻击方可能更容易从 AI 普及中获益，因为攻击者只需找到一个突破口，防御方则需保护大量系统。 🔗 InfoQ 原文