执行摘要 Wiz Research 揭示了核心 PHP 中的多个关键漏洞，这是一个流行的通用脚本语言，支持全球 70% 的网站。成功利用这些漏洞可能允许攻击者控制受影响的服务器，窃取敏感数据，并篡改运行在其上的网站。PHP 是网络的支柱：它是驱动 WordPress、Joomla、Drupal、维基百科的 MediaWiki 及其他许多网站的编程语言。这些漏洞包括 PHP 自身的内存泄露和未经身份验证的远程代码执行，与其上运行的应用程序无关，使每个受影响的网站面临直接风险。过去十年发布的每个 PHP 版本都受到至少一个这些漏洞的影响，从版本 5.4 开始。攻击者可以远程利用它们，在某些情况下相对容易。强烈建议立即进行补丁修复。2026 年 10 月 21 日，PHP 发布了修复多个内存安全漏洞的补丁。这些发现被认为是 PHP 中最严重的漏洞之一，甚至可以说在软件历史上也是如此。这些基础缺陷存在了数十年，但要证明其可被利用性需要极其复杂的一系列步骤，达到了人类研究者实际可达到的边缘。前沿 AI 模型显著降低了这一障碍，将长期存在的缺陷转化为可利用的漏洞。概述 在这篇文章中，我们解释了前沿 AI 如何帮助我们发现和修复在过去十多年中在 PHP 代码库中隐藏的漏洞。下面描述的问题都源于关键的架构决策，其中一些决策是在十多年前做出的，并且被归类为两个 CVE，其严重性达到 CVSS 9.2。这项工作发展成为一项跨行业努力，以保护客户，寻找变体，部署检测和缓解，并在协调披露之前及时验证补丁。几乎每个 PHP 版本都受到至少一个这些问题的影响，包括追溯到 PHP 5.4 的版本。这些漏洞可以允许未经认证的攻击者在受影响的服务器上执行代码或读取敏感的进程内存。这些内存可能包含密码、认证令牌、API 密钥以及属于其他请求或服务器本身的证书。PHP 是支持大部分网络的编程语言，驱动 WordPress、Drupal 和 MediaWiki——运行维基百科的软件。其核心引擎中的缺陷可能影响这一生态系统中的网站，即使它们自己的应用程序代码是安全的。一些漏洞成为转折点，因为它们挑战了对安全性的基本假设。在 2014 年，Heartbleed 暴露了保护互联网的共享基础设施的脆弱性。在 2021 年，Log4Shell 显示了深嵌入的软件依赖关系如何导致组织难以识别的广泛暴露。我们相信 PHP2Shell 可能标志着 AI 时代的类似转折点，说明 AI 如何改变长期存在的漏洞的实际可利用性。构建该利用需要串联多个缺陷，并通过重复测试和调试来适应每个目标的内存布局。前沿模型对使这一过程变得实际至关重要，使我们能够在数小时内开发和适应针对多个应用程序的有效利用。随着所需时间和专长的降低，复杂性可能不再构成有意义的障碍，从而改变我们在实践中定义什么是脆弱的。Wiz Research 感谢 PHP 团队、Calif 和 OpenAI 在发现、协调和补丁验证方面的工作。OpenAI 和 Calif 还发布了包含漏洞细节 - 其历史、技术细节以及披露过程见解的博客。PHP 也发布了相关内容。我们还要对 Automattic、Akamai、AWS、Cloudflare、Fastly、谷歌、Imperva、微软、Vercel 等众多公司表示诚挚的感谢，感谢他们为无法立即应用补丁的客户准备指导和现成的缓解方案。Wiz 如何提供帮助？Wiz 客户应参考 Wiz 威胁情报中心关于 PHP2Shell 的建议，其中包括无代理和运行时漏洞检测的内置覆盖，通过 Wiz Defend 和 Sensor 进行的利用检测，以及自动响应策略，外加修复和威胁狩猎指导。传感器客户还可以启用内置响应策略，自动终止表现出典型于 PHP2Shell 利用行为的进程：漏洞 所有披露的漏洞都是内存安全问题，源于 PHP 在处理请求时处理致命错误（特别是内存不足错误）时的缺陷。这些缺陷可能会在请求意外结束后留下损坏的内部 PHP 状态。后续请求或工作线程可以重用该过时状态，导致内存泄露或损坏。以下是一个表格，演示了什么类型的 i