PHP2Shell：两个关键漏洞危及约七成网站，AI 协助发现

发生了什么

10 月 21 日，PHP 开发团队发布紧急安全更新，修复统称为 PHP2Shell 的两个关键漏洞：CVE-2026-109618 和 CVE-2026-109619，两者在 CVSS v4.0 下均被评为 9.2 分（严重）。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。GitHub 安全公告于 10 月 21 日 13:34 UTC（北京时间 21:34）发布，PHP 官网随后更新。

两个漏洞由安全公司 Wiz 和 Calif 独立发现。Wiz 研究人员表示，在整个研究过程中使用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 三种 AI 模型；Calif 则是通过 OpenAI 的“Patch the Planet”项目发现这些缺陷。OpenAI 表示其模型帮助研究人员找到了漏洞，Quarkslab 也参与了协同披露。Wiz 研究人员称，这些发现是 PHP 历史上最严重的漏洞之一；缺陷存在了几十年，但证明其可利用性需要极其复杂的链条，前沿 AI 模型大幅降低了这一门槛。

漏洞细节在 10 月 20 日提前泄露（Hacker News 上的帖子，安全公司 watchTowr 确认漏洞真实），原定 10 月 22 日协同披露；泄露后 PHP 团队把补丁发布时间提前到 10 月 21 日。在补丁发布前，欧洲多家机构按 CERT-EU 的建议预防性下线网站，包括荷兰政府服务 DigiD、MijnOverheid、荷兰众议院网站等；日本也有多家服务进入紧急维护。

Cloudflare 在 10 月 21 日 3:02 UTC（北京时间 11:02）起为所有 WAF 用户默认启用防护规则，比公开披露早约 9 小时；防护用到了其新的“全事务检测”能力，可结合请求与响应的信号拦截利用。Cloudflare 表示在公开披露前已观察到针对其客户的攻击流量，攻击者在不断变异载荷试图绕过规则。

关键事实

1. 两个漏洞：内存耗尽时 PHP 中断请求，内部请求数据只初始化了一部分，清理阶段可能把无效数据当作有效数据（CVE-2026-109618）；请求拥有的内部状态在其内存被释放后仍然残留，同一工作进程处理的后续请求可能在重置前使用这些过期状态（CVE-2026-109619）。单个未认证请求即可触发，mod_php 场景风险最高。
2. 影响范围：漏洞在 PHP 解释器本身而非某个应用，从 PHP 5.4 起的所有版本都受影响；所有处理 Web 请求的 PHP 安装都在范围内，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。据 Cloudflare 引用 W3Techs 数据，PHP 支撑近 70% 的网站。
3. 已被验证的利用：研究人员已在最新版 WordPress、Drupal、Joomla 容器镜像上演示了未认证远程代码执行；一个简单的“Hello World”应用在存在漏洞的 PHP 版本上也可被利用；读取 PHP 工作进程内存（可能包含密码、令牌、API 密钥）也被演示。
4. 利用现状：Cloudflare 在补丁公开前已观察到攻击流量；PoC、分析文章和部分缓解措施在解禁前就开始在网上传播。澳大利亚网络安全部门称发布公告时尚未发现活跃利用。
5. 旧版本处理：PHP 官方已不再支持 8.1 及更早版本，本次为 7.4、8.0、8.1 发布了最小源码补丁，供从源码构建或无 LTS 供应商的用户使用；Linux 发行版和 LTS 供应商提前拿到了补丁。