PHP 核心引擎里藏了十多年的内存漏洞，被前沿模型帮着做成了可用的远程攻击链。2026年10月21日，Wiz Research 公开披露这组被合称为 PHP2Shell 的漏洞，PHP 团队也在同日发布修复补丁。漏洞被归入两个编号 CVE-2026-109618 与 CVE-2026-109619，最高严重度评分达到 9.2，近十年发布的 PHP 版本几乎都至少命中其中一项，最早可追溯到 5.4。
错不在网站代码，错在语言本身
PHP 支撑着全球约七成网站，WordPress、Drupal、Joomla 和维基百科所用的 MediaWiki 都跑在它上面。这次的问题出在 PHP 处理致命错误、尤其是内存耗尽错误的方式上：请求异常结束后会留下被污染的内部状态，后来的请求复用这份状态，就可能读到进程内存，或者进一步执行任意代码。Wiz 已经演示了在最新镜像的 WordPress、Drupal、Joomla 上无需登录即可远程执行代码，也演示了不拿执行权、只读取服务器进程内存的做法——里面可能有其他请求的密码、令牌和证书。哪怕网站代码写得再干净，只要底层的 PHP 没打补丁，风险照样存在。
AI 改变的是利用门槛，不只是发现速度
这组漏洞的代码存在了十多年，过去没被大规模利用，一个重要原因是把内存错误拼成稳定攻击链极其繁琐，还要逐个适配不同版本和内存布局。Wiz 表示，研究过程中使用了自家工具以及 Gemini 4 Argon、GPT-5.6 Sol 等前沿模型，协助完成漏洞发现、利用开发、检测和补丁验证；OpenAI 的 Patch the Planet 计划也参与了披露前的发现与协调。单个研究者一周左右做完过去顶级团队数月的工作量，这才是这件事真正值得警惕的地方：以后衡量一个老漏洞危不危险，不能再只看它有多难利用，因为利用的成本正在被模型压低。
站长现在只有一件事最重要
升级到 PHP 官方已修复的版本是唯一完整的解决办法，拖得越久，公开细节被复现成通用工具的概率越高。暂时无法升级的环境，可以先用云厂商和托管平台在披露前准备好的缓解措施顶住，同时留意异常的大文件上传请求、接连出现的内存超限与 500 错误、PHP 工作进程频繁重启等信号，并尽快排定升级窗口。
