PHP2Shell：AI 发现影响全球 70% 网站的严重 RCE 漏洞
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
AI 导读
Wiz Research 披露 PHP 核心中的多个严重内存安全漏洞，归为 CVE-2026-109618 和 CVE-2026-109619，最高 CVSS 9.2，可导致无需身份验证的远程代码执行和进程内存信息泄露，PHP 已于 2026 年 10 月 21 日发布补丁。PHP 支撑全球 70% 的网站，近十年发布的所有版本均受至少一个漏洞影响，最早可追溯到 PHP 5.4，且漏洞位于 PHP 本身，与上层应用无关。团队将漏洞组合成 php2shell 利用脚本，在 WordPress、Drupal 和 Joomla 的最新容器镜像上演示了无需身份验证的 RCE，并可读取进程内存中的密码、认证令牌和 API 密钥等敏感数据。Wiz 与 PHP 团队、Calif 和 OpenAI 完成协调披露。
推荐理由
前沿模型把存在十多年的 PHP 内存缺陷串成无需身份验证的 RCE 利用链，作者称这改变了漏洞发现与利用的经济学。
阅读原文