Wiz 借助 AI 找出存在超过 10 年的 PHP 安全漏洞 PHP2Shell

PHP 开发团队 10 月 21 日修复代号 PHP2Shell 的两个漏洞（CVE-2026-109618、CVE-2026-109619），通报漏洞的 Wiz 同日公布发现过程。漏洞最早可追溯到 2012 年发布的 PHP 5.4，Wiz 于 8 月下旬借助 Wiz Atlas、Gemini 4 Argon、GPT-5.6 Sol 等顶尖 AI 模型找出漏洞，在 WordPress、Drupal、Joomla 上验证后获 PHP 确认。Wiz 称，人工验证漏洞能否实际用于攻击原本极其困难，顶尖 AI 模型大幅消除了相关障碍，把长期存在的软件缺陷变成可利用的安全弱点，并称 PHP2Shell 是 PHP 史上最严重的漏洞。Wiz 强调漏洞存在于 PHP 本身，即使运行 Hello World 应用也可能曝险，除远程代码执行外攻击者还能读取进程内存中的密码、令牌和 API 密钥。