AI 客栈
返回首页

PHP2Shell 复盘：AI 参与发现两个 CVSS 9.2 漏洞，旧版本长尾仍缺补丁

  • 前情提要：PHP 官方已发布 8.5.12、8.4.27、8.3.36、8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619，严重度均为 CVSS 9.2，无需账号密码即可远程利用；Cloudflare 在公开披露前部署 WAF，协调披露过程中 CVE ID 与 PoC 提前流出。
  • 最新披露：爱范儿复盘指出，两个漏洞位于 PHP 解释器内核，影响范围与上层应用无关。W3Techs 数据显示，69.3% 可识别服务端技术的网站使用 PHP；在 Apache 常见 mod_php 部署下，攻击可在网站应用代码运行前触发。CVE-2026-109618 涉及内存耗尽时 longjmp 导致半初始化数据被清理流程使用；CVE-2026-109619 涉及请求释放后全局状态未清干净、被同一工作进程后续请求复用，可泄露密码、令牌与 API 密钥。
  • AI 发现时间线：Calif 的 Ryan Austin 于 8 月 1 日在 GPT-5.6 Sol 帮助下发现首个漏洞，8 月 11 日报告 PHP 团队；OpenAI 同日独立报告同一根因。Wiz 于 8 月 19 日用 Wiz Atlas 配合 Gemini 4 Argon 与 GPT-5.6 Sol 独立发现，随后在 Drupal 与 WordPress 官方镜像验证无需登录的远程代码执行。
  • 宣传争议：OpenAI 将事件列入 AI 安全成果，Calif 随后公开正名称 Ryan Austin 为第一发现者，并强调其方向来自对目标历史的了解；OpenAI 与 PHP 基金会复盘均确认，AI 压缩的是验证与攻击代码构建时间，而非完全替代人的漏洞定位判断。
  • 修复长尾：PHP 基金会称 2024 年审计后已注意到内存耗尽处理隐患，但当时无人能证明可利用，兼容性、性能与 DoS 风险令修复搁置，基金会事后称之为一次“结构性失败”。补丁仅覆盖 PHP 8.2–8.5，W3Techs 同日数据显示 27.0% PHP 网站仍运行 7.x、7.7% 运行 5.x，无法获得官方补丁；国内跑在宝塔、ThinkPHP、Discuz 上的老版本需迁移或隔离兜底。
  • 防御与检测：Cloudflare 称 WAF 规则对包括免费版在内的全部客户默认生效，并上线全事务检测，将请求与源站响应关联以判断攻击是否得手；OpenAI 开源了可安装到 Codex 的 Skill，提供 phpcheck-server 与 phpcheck-url 两种检测入口。
  • 行业意义：AI 把理论缺陷转成可运行攻击代码的周期从数月压缩到一周量级，OpenAI 也在复盘中承认同一能力可被攻击者用于更快构建工具。防守方拿到的补丁与攻击者看到的代码修改记录同时公开，协调披露、运行时升级与长尾系统迁移共同决定实际风险窗口。 🔗 爱范儿原文 | PHP 基金会复盘 | OpenAI 协调披露报告 | Calif 技术复盘