这个PHP漏洞并没有简单的利用方式

# 这个 PHP 漏洞并没有现成的利用方式 来源：https://eliastaylor.com/noexploit/ 我知道，我知道。你满耳朵都是这事儿。还有数字 `4`。 别误会，这里显然有个 bug，而且确实很重要。但这**不**容易利用。绝对没有 Log4Shell/Heartbleed/RoRYaml 等等那么容易。 ## 你倒是给个理由啊，疯子！ 我不认为这个 PHP 漏洞有多容易被利用。我觉得五年前人们就能理解这一点，但现在人们被自己的 LLM 骗了——LLM 告诉他们有个可用的利用方式，其实并没有。 你现在去 GitHub 上看看，有成千上万、真成千上万的这个漏洞的"PoC"。但你会发现，它们**全都**对原生 PHP 实例无效。 去吧，在 Docker 里起一个你认为有漏洞的 PHP 服务器，然后*自己去跑那个 PoC*。别让 LLM 替你跑。不。你自己运行脚本。这些利用方式跑不通。 ## 利用方式呢，勒博夫斯基？ 我觉得很多人假设 LLM 能通过阅读 diff 立即构建出完整的利用链，而且即使这个漏洞比其他漏洞更难利用，LLM 也能拉平差距。好吧。目前没有可用的利用方式。那怎么办？ 当我想到互联网上那种"我们要完蛋了"级别的 CVE10 时，我想的是这些漏洞： - RoR YAML 解码（发一个包含恶意 YAML 的 POST 请求体） - Log4Shell（把你的 user-agent 设成 `${jndi:ldap:}`） - Shellshock（"复制 `env x='() { :;}; echo vulnerable' bash -c "echo this is a test"`，然后按需修改"） - Heartbleed（请求 Content-Length 10000000） 这些漏洞一上新闻，立马就有僵尸网络到处造成破坏。而且那还是 LLM 之前的时代！那些僵尸网络是人用双手一个字一个字写出来的！ 这个漏洞发布已经 10 个小时了，半个软件圈都在关注它，天知道有十万人把他们的"超级智能"派上场了。然而，没有可用的利用方式。那些流传的都是假的，或者只在实验室里能跑，因为…… ## 他妈的 LLM 啊。 脚本小子（还有那些同样关掉了脑子的"脚本大人"）现在都觉得，嗯，他们虽然不懂 UAF 链，但这个 Claude 家伙无所不知，肯定能做出利用方式。 可笑的是，这导致 LLM 就像给了弟弟一个没插线的游戏手柄。屏幕上到处写着 exploit……还有几份确凿的聊天记录……但它篡改了你正在测试的服务器，给它注入了一个严重漏洞。作弊！！ - https://github.com/david-alvarez-rosa/php-rce - https://github.com/eness/php2shell-CVE-2026-109618-CVE-2026-109619-PoC - https://github.com/ikow/php2shell-poc 这些"PoC"大多数有一个特别搞笑的共同点：它们依赖"LFI"，也就是本地文件包含，来构成漏洞。用非 PHP 术语来说，它们的利用链要求服务器实际上执行 `eval(read(filename_provided_by_user))`。 PHP 应用在某种程度上出问题并不罕见，但*要求服务器本身已经存在一个漏洞*（https://github.com/ikow/php2shell-poc/blob/main/lab/setup.sh#L31-L37），一个可以直接 `cat /etc/password` 的漏洞，作为一个*疯狂的*前提条件。如果你需要这个前提，这就不能算一个严重的 bug。 最奇怪的是，这么多人竟然各自独立地犯了这个极其离谱的判断错误。原因是他们并不是独立做出这个判断的。Claude 等等已经替他们完成了所有判断，这才导致逻辑错误呈现出这种诡异的分布。 这里有一个重要的话题：有多少人让 Claude/GPT 替他们做设计决策，以及 AI 如何成为当今世界的主要决策者。这就出现了"决策谢林点"这种诡异现象——某种问题解决方式被极度过度代表，因为它是 Claude 开箱即用的做法。 在"现在大多数网站都长得一样"的情况下这很烦人，但因为 LLM 有同时搞砸每个领域的能力，这也意味着"现在大多数决策都诡异地一致"。尤其是在这个案例中，AI 在服务器上*注入*了一个漏洞……来证明服务器对你那"能利用任何 PHP 实例"的攻击存在漏洞！ ## 那为什么大家都这么害怕？ 因为： 1. 一位 PHP 核心团队成员说这是灾难级的（"补丁发布 15 分钟后就会开始出现利用方式"） 2. 我们内心深处都知道 PHP 不安全 3. 那个利用演示视频里有个动漫女孩 4. 我们都知道 LLM 像一把悬在互联网上空的 100 吨契诃夫之斧，而且我们知道代码并不安全（https://eliastaylor.com/noexploit/software-tinderbox） 以前我们也遇到过类似的情况，但那还不是 LLM 时代。对我们来说幸运的是，这一天似乎还没来。这个漏洞太难被轻松利用了。这不是一个 Log4J 时刻。