我知道，我知道。你只听到这些了。还有数字4。别误解我的意思，这里显然有一个bug，而且确实很重要。但是，这并不容易被利用。它显然远远没有Log4Shell、Heartbleed或RoRYaml等漏洞那么容易。你这个疯子，给我解释一下！我认为这个PHP漏洞并不是那么容易被利用。我认为5年前人们会理解这一点，但现在人们被他们的LLM误导，以为他们有一个漏洞，实际上并没有。如果你现在看看GitHub，有成千上万的“PoC”利用方式针对这个漏洞。你会注意到的一点是，所有这些都不能在普通的PHP实例上工作。去吧，搭建一个你认为在Docker中存在漏洞的php服务器，然后自己运行这个PoC。不要让你的LLM来做。不。亲自运行这个脚本，利用并不成立。利用在哪，Lebowski？我认为很多人假设LLM可以通过阅读diff快速构建利用链，即使这比其他漏洞更难利用，LLM也会弥补这个差距。但是，没有有效的利用方案。那现在怎么办？当我想到互联网中“我们很糟糕”的CVE10漏洞时，我想到以下几个漏洞：RoR YAML解码（发送带有错误yaml的post体）Log4shell（将用户代理设置为${jdni:ldap:}）Shellshock（“copy env x='() { :;}; echo vulnerable' bash -c 'echo this is a test'并根据需要修改）Heartbleed（请求Content-Length 10000000）这些漏洞一出现在新闻中，就有机器人网络造成伤害。这是在LLM之前！人们必须亲自去编写机器人网络！已经过去10个小时以来，这个漏洞被发布了，软件界的半数人都在关注它，天知道有10万人把他们的“超智能”放在这个问题上。然而，仍然没有有效的利用方式。那些在网络上流传的都是假的，或者只在实验室环境中有效，因为……该死的LLM，真是糟糕。脚本小子（和脚本成年人，脑子也关掉了）现在都认为，他们可能不理解UAF链，但这个Claude家伙知道一切，并且完全能制造一个利用。滑稽的是，这导致LLM给他们的弟弟一个没插电的控制器。屏幕上写着“利用”……还有一些烟雾弹的转录……但是它修改了你正在测试的服务器，使其具有严重的漏洞。作弊！！https://github.com/david-alvarez-rosa/php-rce https://github.com/eness/php2shell-CVE-2026-109618-CVE-2026-109619-PoC https://github.com/ikow/php2shell-poc 大多数这些“PoC”有一个有趣的共同点，它们依赖于“LFI”或本地文件包含来制造漏洞。在非PHP术语中，它们的利用链要求服务器有效地执行eval(read(filename_provided_by_user))。虽然PHP应用程序在某种意义上常常存在问题，但要求服务器必须有一个现存的漏洞，可以读取/etc/password，这是一个不可思议的前提。如果你需要这个，这并不能使其成为一个严重的bug。奇怪的是，竟然有这么多人独立地形成了这个极其奇怪的判断缺陷。这是因为他们没有独立做出这个决定。Claude等人替他们做了所有的判断，因此导致了逻辑错误的奇怪分布。这里有重要的事情要说，就是有多少人让Claude/GPT为他们做设计决策，以及AI现在是世界上主要的决策者。你有一个奇怪的“决策谢林点”的案例，解决问题的方法被极度高估，因为那是Claude开箱即用的做法。这在“大多数网站现在看起来一样”的情况下令人恼火，但因为LLM有能力同时破坏每个领域，所以这也造成了“现在大多数决策可疑地相同”。尤其是在这种情况下，AI正在向服务器插入一个漏洞……以证明该服务器对你的“攻击任何PHP实例”的利用是脆弱的！那么，为什么大家这么害怕？因为：PHP核心团队的一位成员说这是灾难性的（“补丁推出后15分钟内将开始出现利用”）我们都知道PHP不安全。那个利用视频里面有一个动漫女孩。我们都知道LLM像100吨的契诃夫的锤子一样悬在互联网之上，我们知道代码是不安全的。我们之前有过类似的事情，但还没有在LLM时代。然而，幸运的是，这似乎不是那一天。这太难以轻易利用了。这不是Log4J的时刻。