PHP2Shell：Wiz 借 AI 发现影响互联网 70% 网站的严重 RCE 漏洞

Wiz Research 在支撑全球 70% 网站的 PHP 核心发现多个严重内存安全漏洞，PHP 已于 2026 年 10 月 21 日发布补丁。漏洞归为两个 CVE（CVE-2026-109618、CVE-2026-109619），最高 CVSS 9.2，包括 5.4 在内的几乎所有 PHP 版本至少受其中一个影响。Wiz 将漏洞组合成 php2shell 攻击链，在 WordPress、Drupal、Joomla 上演示了无需认证的远程代码执行，并可读取进程内存中的密码、令牌等敏感数据，利用不依赖应用代码缺陷。这些缺陷已存在十余年，此前利用门槛接近人类研究者极限；作者称借助 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol，一名研究者一周完成了过去顶级团队需数月的工作。