PHP内核高危漏洞爆发：AI加速发现与利用，全球互联网面临紧急修补挑战

事件概述

2026年10月21日至22日，全球互联网基础设施遭遇重大安全冲击。由于PHP解释器内核存在两个极高危漏洞（被安全社区称为“PHP2Shell”），欧洲多国政府网站、日本知名互联网平台（如pixiv、Niconico）以及部分商业服务被迫紧急暂停或进行系统维护。这两个漏洞允许攻击者在无需账号密码的情况下，通过构造特定请求获取服务器命令行控制权（Shell）。

核心信息与技术细节

1. 漏洞严重性与影响范围

• 漏洞编号：CVE-2026-109618 和 CVE-2026-109619。
• 严重程度：CVSS评分均为9.2分（满分10），属于无需认证的远程代码执行漏洞。
• 技术原理：
  • CVE-2026-109618：利用PHP处理“内存耗尽”时的longjmp机制缺陷。当内存分配失败触发急刹车时，若内部数据仅初始化一半，后续清理流程可能将半成品当作正常数据处理，从而在应用代码运行前执行恶意代码。
  • CVE-2026-109619：经典的“释放后使用”（Use-After-Free）漏洞。请求处理后全局状态未清理干净，导致同一工作进程处理下一个请求时访问失效内存，可堆叠成代码执行并泄露敏感信息（如密码、令牌）。
• 受影响环境：漏洞位于PHP内核层，与上层应用无关。即使只运行简单的“Hello World”程序也受影响。默认开启的session.upload_progress功能可作为主要攻击入口。

2. AI在漏洞发现中的角色争议与澄清

• 初期宣传：OpenAI最初宣称其研究人员使用GPT-5.6 Sol发现了关键缺陷，并将此列为AI安全成果。
• 事实澄清：第一发现者Ryan Austin（来自安全公司Calif）指出，AI并未独立找出漏洞方向，而是压缩了验证时间。真正的突破源于研究员对目标历史的深入理解（追溯至2004年的旧漏洞报告）以及对内存布局的反复调试。
• 多方协作：
  • Calif：Ryan Austin于8月1日在GPT-5.6 Sol辅助下发现首个漏洞，8月11日报备。
  • OpenAI：8月11日独立报告相同根本原因。
  • Wiz：8月19日利用Wiz Atlas平台配合Gemini 4 Argon和GPT-5.6 Sol独立发现漏洞，并在Drupal和WordPress镜像上验证了无登录RCE路径。
• 结论：AI极大地缩短了将理论缺陷转化为可用攻击代码的时间（从数月缩短至一周），但漏洞发现的“方向感”仍依赖人类专家的安全直觉和历史知识积累。

3. 披露混乱与行业反应

• 协调披露失败：原计划10月22日统一披露，但因Hacker News泄露截图、Calif误发演示视频、Chainguard抢先发布含补丁镜像等原因，导致漏洞细节提前暴露。攻击者可对比新旧二进制文件反推漏洞原理。
• 防御措施：
  • Cloudflare：上线“全事务检测”新能力，默认对所有客户（含免费版）生效WAF防护规则，实时关联请求与源站响应以判断攻击是否得手。
  • OpenAI：开源Codex Skill工具，供用户检测网站是否存在php2shell漏洞。

4. 长期风险与挑战

• 补丁覆盖盲区：官方补丁仅覆盖PHP 8.2-8.5分支。数据显示，仍有27.0%的网站运行在已停止维护的PHP 7.x，7.7%运行在PHP 5.x。这些长尾站点无法获得官方补丁，只能通过迁移或隔离来兜底。
• 攻防窗口期缩短：补丁公开即意味着攻击者获得了相同的修复记录，可用于开发绕过工具。随着AI降低攻击工具开发门槛，防守方需要更精确地计算和维护应急响应时间。
• 结构性隐患：PHP基金会承认此前外部审计中发现的内存管理隐患因担心兼容性破坏而被搁置，此次事件被视为一次“结构性失败”。