php

一项 arXiv 研究评估了五个大语言模型，要求它们将 100 个旧版 WordPress 4.0 PHP 文件升级至兼容 PHP 8.3。研究发现，表现最好的模型也使 59 个原本正常工作的文件无法正常运行，而不做任何修改时，有 83 个文件能够通过测试；相比之下，基于规则的 Rector 工具仅使 7 个文件无法正常运行。研究由此得出结论：评估大语言模型的代码现代化能力时，必须纳入不做修改的基线，并单独报告原有行为的保留情况。

TechCrunch的Equity播客采访了Wiz CTO Tomer Schwartz，讨论了曾威胁数百万网站的严重PHP漏洞，并警告称AI驱动的漏洞发现可能引发即将到来的"漏洞启示录"，使人工补丁修复变得不可持续。

在 TechCrunch 的 Equity 播客中，Wiz 首席技术官 Tomer Schwartz 探讨了几乎导致互联网瘫痪的 PHP 严重漏洞，并警告称，随着 AI 加速发现和利用老旧开源代码中的漏洞，一场“漏洞末日”即将来临。

一条推广与 CrowdStrike 讨论 PHP2Shell 的推文，涵盖该漏洞的发现过程、披露流程，以及安全团队可采取的实际后续步骤，包括评估暴露面和应用修复补丁。

Troy Hunt 的每周更新回顾了 'PHP2Shell' 漏洞炒作之后的情况，指出预言中的网络末日并未到来，尽管存在大量受影响站点，但将该漏洞归因于真实数据泄露的案例却少之又少。

一篇技术博客，介绍如何在 Windows/IIS 上的 ColdFusion 或 Lucee 服务器中检测意外安装的 PHP（可能由控制面板或 phpMyAdmin 残留），并安全移除它以消除安全隐患。

TechCrunch 探讨了关键的 PHP 漏洞如何暴露了互联网开源基础设施的脆弱性，以及未来广泛使用的人工智能和大语言模型（LLM）智能体是否会令此类漏洞的发现和利用变得更加容易。

黑客在 PHP 两个严重漏洞（CVE-2026-109618、CVE-2026-109619）正式补丁发布前几天就已尝试利用，据 Amazon Threat Intelligence 报告，其蜜罐系统在 10 月 17 日即检测到 PHP2Shell 攻击活动。PHP Foundation 承认修复因兼容性问题被拖延，并表示将加快未来漏洞的处理流程。

黑客提前四天就开始利用由 OpenAI、Calif 和 Wiz 发现的严重 PHP 漏洞。这些漏洞影响全球多达 70% 的网站，并促使美国国家安全局（NSA）、英国国家网络安全中心（NCSC）和白宫发布紧急警报。

PHP 披露的两个严重漏洞影响了近 20 年间发布的版本，导致维基百科、基于 WordPress 的平台、互联网档案馆以及受 Cloudflare 保护的服务等大型网站下线，并迫使一些老旧的日本手机游戏永久停服。

OpenAI 和谷歌旗下 Wiz 的 AI 工具发现了 PHP 中的两个严重漏洞，影响约 70% 的网站，促使相关方紧急发布补丁，并导致大量网站关闭，其中包括维基百科的部分站点和 200 多家日本机构的网站。

亚马逊威胁情报团队通过 MadPot 蜜罐，在 CVE-2026-109618/109619 公开披露前四天（10月17日）就发现了 PHP2Shell 漏洞利用尝试，且人工智能辅助分析正显著缩短从补丁发布到可用漏洞利用的时间。

一位 Hacker News 发帖者为在不知情的情况下违反两项 PHP 严重远程代码执行漏洞（CVE-2026-109618 和 CVE-2026-109619）的信息禁令、打乱协调披露计划而道歉。

两项 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 是由一个前沿 AI 模型独立发现的，而它收到的提示仅仅是“找出 PHP 中的严重漏洞”。

AWS 威胁情报显示，攻击者在关键的 PHP2Shell 漏洞公开披露和补丁发布前四天便已开始利用该漏洞，凸显出 AI 加速漏洞利用开发正在不断缩短从补丁发布到可运行利用程序之间的时间窗口。

不到24小时内接连爆出四大网络安全事件：PHP隐藏14年的高危远程代码执行漏洞（由OpenAI牵头用AI发现并已发布补丁）、Node.js一口气修复10个漏洞、印度证书机构eMudhra因私钥生成过弱被破解导致HTTPS信任链受威胁，以及云平台Railway遭入侵导致客户API密钥可能全部泄露。

推文感叹这是互联网安全史上最糟糕的一天：PHP 同日爆出两个严重漏洞，攻击者无需登录即可远程执行代码，且细节在补丁发布前就已泄露，影响 WordPress、MediaWiki、Magento、Joomla 和 Laravel 等主流系统。作者将原帖内容按原文风格完整翻译成中文。

作者认为，最新的PHP高危漏洞远不如Log4Shell或Heartbleed那样容易被利用，目前流传的数千个"PoC"漏洞利用大多是由LLM生成的残缺产物，它们修改的是测试环境，而非串联利用真实的漏洞。

CZ 提醒用户在浏览网页时保持谨慎，因为影响 WordPress 和 Magento 服务器的两个 PHP 严重漏洞（CVE-2026-109618 和 CVE-2026-109619）在提前泄露后已遭到实际利用，促使相关方发布补丁并部署 Web 应用防火墙（WAF）防护措施。

在 GPT-5.6 Sol 等 AI 模型的帮助下发现的两个 PHP 严重漏洞，导致互联网上大量网站宕机，波及 4chan、维基百科、DeviantArt、政府机构以及宝可梦相关服务。