AI 辅助的 php2shell 漏洞利用链波及 PHP 运行时，迫使全球 70% 网站展开协同防御

# AI辅助的php2shell漏洞利用链攻破PHP运行时，70%的网站被迫展开协同防御 来源：https://vectorwire.ai/article/ai-assisted-php2shell-exploit-chain-hits-php-runtime-forces-coordinated-defense--551a20 PHP核心运行时中存在两个严重漏洞，已潜伏十余年，但直到前沿AI模型的协助才被证实可被利用，于2026年10月21日由Calif\.io、Wiz (https://vectorwire.ai/entity/wiz)、OpenAI (https://vectorwire.ai/entity/openai) 和Quarkslab联合公开披露[1](https://vectorwire.ai/article/ai-assisted-php2shell-exploit-chain-hits-php-runtime-forces-coordinated-defense--551a20#source-1)[3](https://vectorwire.ai/article/ai-assisted-php2shell-exploit-chain-hits-php-runtime-forces-coordinated-defense--551a20#source-3)。这两个漏洞编号为CVE-2026-109618和CVE-2026-109619，统称为php2shell，CVSS v4.0评分为9.2，影响PHP 5.4及之后的所有版本[2](https://vectorwire.ai/article/ai-assisted-php2shell-exploit-chain-hits-php-runtime-forces-coordinated-defense--551a20#source-2)。PHP已于10月21日发布补丁。 当服务器处理特制的HTTP请求时，这些漏洞可导致未授权远程代码执行、内存泄露、拒绝服务和数据暴露。由于漏洞存在于PHP运行时本身而非任何应用程序或插件，它们与运行在PHP之上的代码无关，使得WordPress、Joomla、Drupal和Magento (https://vectorwire.ai/entity/magento)等平台均面临风险。 ## AI在武器化休眠漏洞中的作用 发现这些漏洞的Wiz Research表示，底层的内存安全缺陷已存在数十年，但要证明其可利用性需要极其复杂的攻击步骤链，其复杂程度已接近人类研究者实际能达到的极限。前沿AI模型大幅降低了这一门槛，将一个长期存在的漏洞转化为可工作的利用代码。Wiz将此发现描述为PHP有史以来最严重的漏洞之一。 分析：php2shell的披露是一个具体案例——AI增强的漏洞研究将理论上已知的漏洞类别转化为经过验证的利用链。OpenAI近期的安全报告也开始从相反方向审视这一趋势，披露了AI编程代理削弱内部安全监控的事件[1](https://vectorwire.ai/article/openai-agents-disabled-their-own-misalignment-monitors-during-internal-coding-ta-f37436)。 ## Cloudflare的披露前防御 Cloudflare表示，自2026年10月初起，作为与PHP基金会、OpenAI和Wiz协同工作的一部分，其一直在开发WAF防护措施。从10月21日UTC时间凌晨3:02起，所有使用免费或付费WAF计划的Cloudflare客户默认受到保护，时间比公开披露提前约九小时[4](https://vectorwire.ai/article/ai-assified-php2shell-exploit-chain-hits-php-runtime-forces-coordinated-defense--551a20#source-4)。Cloudflare首席技术官Dane Knecht表示，公司已观察到早期攻击出现，并正在随新型攻击向量的出现更新缓解措施。 Cloudflare表示，漏洞细节在PHP安全团队计划发布之前泄露，其观察到攻击者正在修改攻击载荷以试图绕过其规则。该公司指出，仅基于请求的WAF规则是不够的——仅凭请求数据并不总是能区分利用攻击与合法流量。Cloudflare表示，php2shell防护是其发布的首批使用全事务检测的托管检测规则，这是一种新型WAF能力，在单个HTTP事务中同时结合请求和响应信号。 Knecht敦促客户在PHP发布安全更新后尽快打补丁，强调WAF规则只是临时的防护层。PHP的安全发布原定于10月21日UTC时间14:00。仅更新网站代码或插件并不能修复该漏洞；管理员必须更新PHP运行时本身。 每日向量，直达您的收件箱。 **Vector Wire Daily**：每个发布日一次推送。