Wiz 借助前沿 AI 发现 PHP 核心远程代码执行漏洞 PHP2Shell

Wiz Research 公布代号 PHP2Shell 的研究，揭示了 PHP 核心引擎中两个已分配 CVE 编号的漏洞组（CVE-2026-109618 和 CVE-2026-109619），严重程度达 CVSS 9.2。这些漏洞属于内存安全问题，源于 PHP 在处理请求中的致命错误（尤其是内存耗尽错误）时的缺陷。请求异常结束后，内部状态可能被破坏，后续请求或工作进程复用该状态，导致内存泄露或代码执行。

受影响范围极为广泛，近十年发布的每个 PHP 版本都至少存在其中一个漏洞。研究人员在 WordPress、Drupal、Joomla 等多个目标上成功演示了无需认证的远程代码执行。漏洞存在于 PHP 本体，与上层应用无关，即使网站自身代码安全也无法幸免。

• CVE-2026-109618：上传进度反序列化器的释放后使用漏洞，可实现远程进程内存泄露、内存破坏及代码执行，成功演示了对 WordPress、Drupal 和 Joomla 的未认证 RCE
• CVE-2026-109619：致命错误回溯的释放后使用漏洞及 OPcache 类型混淆，可破坏共享状态并执行代码，演示了对 Drupal 和 WordPress 的未认证 RCE

这些漏洞并非近期引入，而是在 PHP 代码库中隐藏了十多年。研究人员强调，构建可利用的漏洞利用链需要将多个缺陷串联，并针对每个目标的内存布局反复测试调试，这项工作原本远超人类研究者的实际能力边界。前沿 AI 模型大幅降低了这一门槛，使得在数小时内即可开发并调整多个应用的可用利用脚本。

Wiz 将多个漏洞组合成单一的利用脚本 php2shell，并已联合 PHP 团队、Calif、OpenAI 及多家基础设施公司（如 Akamai、AWS、Cloudflare、Google、Microsoft）完成补丁验证和缓解措施准备。PHP 已于 2026 年 10 月 21 日发布修复补丁，解决了核心问题并消除所有已知变种。