PHP2Shell 地狱：人工智能如何将补丁窗口从数天缩短至数小时

为什么每年的这个时候，总会在假期前夕引发大范围、隐蔽的网络安全事件？就在安全专业人员不再为 Log4J/Log4Shell 感到彻夜难眠时，一系列导致大规模混乱的 PHP 严重漏洞又出现了。

10 月 21 日，数百个网站被迫下线，这并非因为攻击者使用了漏洞利用程序，而是政府、企业和组织为了 防止 这些网站在技术团队审查并应用补丁期间被攻击而采取的主动防御措施。其根源在于 PHP（支撑着约 70% 的网站）中存在的两个严重漏洞。这两个漏洞统称为 PHP2Shell，即 CVE-2026-109618 和 CVE-2026-109619，在特定条件下，未经身份验证的攻击者可利用它们在服务器上实现远程代码执行 (RCE)。

这些漏洞本身存在于 PHP 底层的 C 语言代码中。虽然深入研究此次事件的技术细节非常引人入胜，但更重要的事实是，这个内存溢出 (OOM) 漏洞并非新问题：它最早于 2004 年被提出，随后在 2019 年和 2024 年又被提及。而最值得深思的是，为什么在 2026 年夏天，这个被搁置了 12 年之久的 OOM 漏洞，突然成为了 PHP 基金会安全团队的首要任务。

那么，究竟发生了什么？答案是 AI 模型。

AI 缩短了从发现漏洞到利用漏洞的时间窗口

这些漏洞的利用并非易事。将这些缺陷串联成有效的攻击向量，需要深入理解 PHP 如何在请求间分配和重用内存。经验丰富的安全研究人员都知道，工作中最困难的部分往往是证明其影响：无法触达的漏洞无法被利用，而无法被利用的漏洞在技术团队资源有限且积压任务过多的情况下，很难获得足够的优先级来推动修复。

这些漏洞之所以长期未得到解决，是因为没人能搞清楚如何利用它们。此外，由于修复方案复杂，且需要在向后兼容性、拒绝服务 (DoS) 风险以及难以协调的第三方扩展变更之间进行艰难权衡，2024 年修复该漏洞的努力陷入了停滞。任何负责安全漏洞分类的团队对这种场景都不会陌生：一个修复成本高昂的理论性问题，往往会输给那些影响明确且已得到证实的问题。

直到今年夏天，PHP 项目被纳入了 OpenAI 的“Patch the Planet”计划。新一轮 AI 辅助的安全审计不仅揭露了这些漏洞，还创建了推动修复工作所需的有效漏洞利用概念验证 (PoC)。Calif 的时间线显示，从发现漏洞路径到向 PHP 基金会提交有效的概念验证 (PoC)，仅用了不到 2 周时间。在他们的报告中，Wiz 明确指出了关键所在：“借助前沿 AI 模型和合适的工具，一名研究人员在一周内完成的工作，过去可能需要世界级团队数月的时间才能实现。”

简而言之，该漏洞的原理如下

当 PHP 请求内存耗尽时，PHP 会立即停止该请求。这种突然的中断导致内存清理步骤被跳过，从而产生了一个 释放后使用 (Use After Free) 的内存损坏漏洞。在关键时刻，PHP 可能会留下部分初始化的内部数据，并将其视为有效数据，从而导致内存损坏，或者使内部状态指向前一个请求的内存区域。

将这两个漏洞转化为有效的攻击非常复杂，需要：

• 在特定点强制触发内存溢出错误，通过带有深度嵌套表单字段的小型请求，使 PHP 分配的内存远超请求本身的大小 (Calif)
• 安排攻击者控制的数据落入已释放的内存中，以便 PHP 将其读取为自身的内部结构 (Calif)
• 在某些攻击链中，利用第二个缺陷泄露内存内容并确定目标位置，从而绕过地址随机化 (Wiz)

如果您想深入了解此漏洞的技术细节，请访问我们公开的 PHP2Shell 演练，其中详细介绍了其工作原理：[立即播放]

新世界：实时观察攻击尝试

如果仅仅是安全研究人员和技术团队受益于 AI，那倒还好。PHP2Shell 事件标志着我们首次真正见证了攻击者将漏洞披露和补丁转化为攻击的速度发生了质的飞跃。由于 AWS 和 Cloudflare 等组织提前获知了消息，他们得以在客户群中实时监测野外的攻击尝试。鉴于 PHP 被估计用于 70% 的网站，PHP2Shell 的攻击面极其广泛。

• 在 PHP2Shell 公开宣布前的 10 小时内，Cloudflare 监测到了数千次攻击尝试。在公告发布不到 24 小时内，他们追踪到的攻击尝试已达数百万次。
• 亚马逊威胁情报部门识别出一起可追溯至 10 月 17 日的 PHP2Shell 攻击尝试，比公开披露早了四天。在补丁发布后的数小时内，AWS 证实观察到了“野外广泛的攻击尝试”。

这表明，团队不能再指望 30 天甚至 7 天的补丁和缓解时间表了。对于严重漏洞，AI 的应用已将这些时间窗口缩短至数小时。

关键结论

对于技术和安全团队而言，有两个假设需要重新审视。

首先，“暂无已知漏洞”已不再像过去那样令人安心，因为人工智能工具大幅降低了构建漏洞的成本。那些曾经被视为理论上的发现，现在值得重新审视。代码编写变得廉价，这也导致漏洞利用变得廉价。

其次，以周为单位的修复速度现在必须与以小时为单位的攻击速度竞争，这改变了投资回报率的计算方式。主动预防正迅速成为最佳的风险缓解手段。如果您的团队仍在使用缺乏补丁的旧版本 PHP，那么在更新时可能会面临严峻挑战。您的技术债务已演变为关键的安全问题，随着人工智能驱动的攻击者能力不断增强，这种趋势预计将持续下去。PHP 本质上支撑着互联网的大部分服务器基础设施，因此补丁的推广预计将是一项艰巨的任务。此外，受影响的不仅是 Web 应用程序（这意味着设备以及任何面向互联网的系统和产品都可能卷入其中），这对安全人员来说无疑是一个持续的难题。团队必须保持警惕，不仅要应对已知的关键漏洞，还要在软件开发的各个环节——无论是人工编写还是人工智能生成——始终秉持安全至上的理念。[挑战演练][咨询专家]