PHP紧急修复两项高危漏洞：AI让老问题变得可利用

2026年10月21日，PHP项目发布安全更新，修复两项可能导致远程代码执行的高危漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619。PHP团队建议用户尽快更新；英国国家网络安全中心也提醒机构排查所有运行PHP的系统，并优先处理面向互联网的服务。

这次事件引发关注，一个原因是PHP使用范围广。W3Techs在2026年10月25日的统计显示，在能够识别服务器端编程语言的网站中，69.2%使用PHP。这个数字不代表全部网站都由PHP运行，但说明一处底层漏洞可能波及大量网站和应用。

维基媒体基金会称，出于安全考虑，它在10月20日先将Wikimedia Cloud Services等部分服务下线。由于一些云端项目由各自的维护者管理，基金会无法替所有实例集中升级，因而需要逐一确认和处理。维基媒体基金会说明这不等于维基百科主站整体关闭，却说明了一个现实问题：补丁发布后，规模庞大、管理分散的系统仍需要时间完成检查和更新。

漏洞是什么？为什么旧问题会变严重？

两项漏洞都与PHP处理内存和请求状态的方式有关。简单来说，一项漏洞涉及内存不足时，程序可能留下尚未完整初始化的数据；另一项则涉及请求结束后，程序仍保留指向已释放内存的状态。特定条件下，后续操作可能利用这些错误，造成内存损坏，甚至让未登录的远程攻击者在服务器上执行代码。

PHP基金会表示，维护者在2024年的外部安全审计后，就注意到其中一项问题的早期迹象；当时尚未找到明确的远程利用路径。由于修复可能影响兼容性和扩展生态，加上团队人手有限，修复方案一度难以定案。基金会后来将延误称为由决策流程和资源不足共同造成的结构性问题。

Wiz的研究称，相关问题在PHP代码库中已存在十多年，受影响版本最早可追溯至PHP 5.4。这里需要分清两件事：**漏洞存在多年，不表示攻击者多年都能轻易利用它。**把复杂的内存问题变成可复现、可利用的攻击链，还需要大量分析、测试和调试。

AI在这次事件里做了什么？

AI没有凭空创造漏洞。PHP维护者早已发现部分风险信号；后续安全研究人员借助AI和其他测试工具，进一步分析漏洞在什么条件下可以被利用，并验证攻击路径。

OpenAI称，安全公司Calif在“Patch the Planet”项目中使用GPT-5.6 Sol发现了关键问题；Wiz则独立发现并报告了相关漏洞。Wiz的研究也描述了研究团队如何用AI辅助测试、调试和适配不同环境。

可以把AI的作用理解为：帮助研究人员更快地提出测试方向、分析失败原因，再继续调整和验证。过去要花大量人工精力反复检查的工作，如今有机会更快推进。不过，研究人员仍要判断结果是否可靠，维护者仍要权衡兼容性、性能和安全性，最后写出并验证修复代码。

攻击尝试不等于攻击成功

漏洞公开后，Cloudflare首席执行官马修·普林斯称，公司网络观察到的利用尝试从数千次上升到数百万次。这个数字指的是Cloudflare网络上的尝试次数，不能直接解读为数百万台网站被攻破，也不能证明相同数量的攻击成功。

PHP官方在10月21日发布了修复版本：8.2.35、8.3.36、8.4.27和8.5.12。对于较旧版本，PHP项目已不再提供常规安全更新；部分发行版和长期支持服务商可能会提供回补版本，用户需要向相应服务商核实。英国国家网络安全中心建议先识别系统中所有PHP实例，尽快安装适用更新；无法更新或采取临时缓解措施的系统，应考虑暂时下线。

对AI学习者有什么启发？

PHP2Shell事件给AI学习者的启示，不是“AI会自动修好所有漏洞”，而是AI正在改变安全工作的成本结构：它让更多复杂测试变得可行，也可能让攻击者更快尝试漏洞。

如果想理解这类事件，可以从三个方向入门：先了解PHP等服务端语言如何处理网页请求；再学习内存错误、远程代码执行等基础概念；最后关注开源软件的版本管理、漏洞披露和补丁部署。练习安全测试时，应在自己有权限的隔离环境中进行。

这次事件中，修复代码已经发布，但补丁仍要经过服务商、网站运营者和分散的项目维护者逐步部署。AI可以加快找问题的过程，真正降低风险还要靠持续维护、及时更新，以及为开源基础软件投入足够的人力和资源。

关注本站，每天分享跨境电商前沿资讯（ Ctrl + D 收藏本站/收藏为书签 ）