两个漏洞在PHP代码中潜伏了近二十年,发现者不是安全团队,而是两套互不相干的AI系统。谷歌旗下的Wiz公司用自研AI代理扫描PHP源码;另一家名为Calif的公司用OpenAI的GPT-5.6模型(代号Sol)独立得出几乎相同的结果。两者都指向同一个缺陷,如今被称为PHP2Shell,编号为CVE-2026-109618和CVE-2026-109619。
简单说,这个漏洞让攻击者无需密码或账号,就能远程在陌生服务器上执行任意代码,相当于完全接管网站。PHP驱动着全球可识别编程语言网站中约七成的站点,包括WordPress和成千上万的政府门户。Wiz直言,这一发现"是PHP历史上最严重的漏洞之一,甚至可能是软件史上最严重的漏洞之一"。
Wiz于8月19日发现第一个漏洞,五天后上报PHP团队。开发者随后联合Cloudflare、AWS、微软、谷歌云、Automattic(WordPress.com母公司)、Fastly、Akamai、Imperva和Vercel悄悄准备补丁,这份名单足见此次修复牵动了多大一块互联网。公开披露原定10月22日,但细节在10月20日提前泄露,团队被迫赶在10月21日UTC时间14点发布8.5.12、8.4.27、8.3.36、8.2.35版本补丁,并为8.1、8.0、7.4提供回溯修复。
补丁分发期间,多国出于谨慎暂时下线了部分政府服务:荷兰的Overheid.nl门户、足协KNVB网站、主要政党页面及部分医院网站一度瘫痪;芬兰国家IT服务商Valtori关闭了政府网络;法国内政部网站进入预防性维护;丹麦学校通讯平台Kombit下线;日本Sakura Internet关闭了部分数据库功能。美国国安局罕见地发布了公开警告,维基百科也暂停了部分系统。
这件事的看点不只是漏洞本身,而是谁发现了它:两家公司、两套不同的AI,得出同一个结论,而且比任何人类研究者都早了几个月。安全研究者如今直言:既然AI能挖出全网信赖了二十年的代码漏洞,同样的工具迟早会落入攻击者手中——到那时,留给防守方的将不再是几个月,而是几个小时。
