PHP2Shell: AI uncovers critical RCE in PHP（AI 发现 PHP 严重远程代码执行漏洞）

📅 2026-10-21 | 🏷️ 安全 & 评测 | ⭐ HN 432分/172评论（Wiz 官方研究博客）
🔗 原文：https://www.wiz.io/blog/php2shell-php-rce

是什么

云安全公司 Wiz 发布研究报告 PHP2Shell：借助 AI 辅助分析，在 PHP（支撑全球大量网站的服务器端语言）核心中发现了严重的远程代码执行（RCE）漏洞。这并不是一条孤立新闻，而是一场完整事件的中心环节——过去 48 小时内，围绕这组漏洞的全球响应链条快速闭合：HN 社区提前预警"两个 CVSS 10.0 级 PHP RCE CVE 即将公布"，AWS 发布官方安全公告（列出 CVE-2026-109618 与 CVE-2026-109619），Cloudflare 上线 WAF 防护规则，PHP 官方仓库同期发布 8.2.35 补丁版本。AI 挖洞从实验室叙事进入了真实世界的攻防节奏。

🔍 小白解读

先说几个词

• RCE（远程代码执行）：攻击者能让你的服务器"替他运行任意命令"，是危害等级最高的漏洞类型——相当于小偷不只是溜进门，而是拿到了你家钥匙还能指挥全屋家电。
• CVSS 10.0：漏洞严重程度的满分评分。评分系统最高 10 分，能打到满分意味着"不用登录、不用特殊条件，远程直接拿下"。
• CVE 编号：公开漏洞的全球统一"身份证号"（如 CVE-2026-109618），方便各方对齐同一个问题。
• WAF（Web 应用防火墙）：架在网站前面、拦截恶意请求的"安检门"，补丁来不及打时可作临时缓冲。
• PHP：驱动全球大量网站与内容管理系统的服务器语言，存量大、分布广，漏洞影响面 accordingly 极大。

这篇到底在说什么

打个比方：过去安全研究员审计一个全球数亿台服务器在用的软件，像拿着放大镜在海滩找特定的沙子，找齐证据链往往要数月。这次 Wiz 的研究演示了新玩法——让 AI 辅助啃代码，把发现严重漏洞的周期大幅压缩。更值得看的是后面 48 小时的连锁反应：预警、公告、云端防护、官方补丁全部到位，像一场提前彩排过的应急演习。这个事件把一个新常态摆上了台面：当 AI 把"发现漏洞"的速度提上来，全球"修漏洞"的机器也必须同步加速——攻防双方都被按了快进键。HN 上 432 分/172 评论，是本期安全类热度最高的话题。

这跟普通人有什么关系

你的网站、公司内网系统、甚至路由器后台都可能跑着 PHP。如果运维团队没有及时打补丁，攻击者可能远程接管服务器，进而窃取用户数据、植入挖矿程序或勒索。普通用户能做的是：网站打不开或行为异常时及时上报，重要账号开启双因素认证——服务器侧的活，交给管理员，但前提是他们知道这事的严重性。

为什么值得架构师关注

• 补丁窗口被 AI 压缩：从预警到全球响应只用了 48 小时，"漏洞披露→武器化"的赛跑规则已经改变，依赖"季度打补丁"节奏的组织需要引入 CVSS 高危漏洞的应急通道（小时级响应）。
• PHP 存量资产的排查清单：有 PHP 服务（含遗留系统、第三方部署包）的团队应立即盘点版本并对照官方公告升级；无法立即升级的，先上 WAF 规则缓冲（Cloudflare 已提供可参考实现）。
• AI×安全的组织预案：本事件与本期 OpenAI「Patch the Planet」一文互为印证——AI 规模化挖洞意味着 incoming 漏洞报告的数量与质量都会上升，安全团队需要预案处理"AI 产出的漏洞披露"，并评估用同类技术做内部红队的投入产出。

核心内容

• Wiz 官方研究：AI 辅助发现 PHP 核心严重 RCE，研究详情见原文（一手信息源）
• 漏洞编号：CVE-2026-109618、CVE-2026-109619（AWS 官方安全公告列出），社区预警称 CVSS 评分 10.0
• 响应时间线（均出自本期缓存源）：10-20 HN 预警双 CVSS 10.0 RCE 将至 → 10-21 Wiz 发布 PHP2Shell 分析 → PHP 发布 8.2.35 补丁版本 → Cloudflare 上线 WAF 防护 → AWS 发布安全公告
• HN 主讨论 432 分/172 评论；PHP 8.2.35 发布帖同日获 958 分/532 评论，社区关注度极高

行动建议

今天就该做的事：盘点组织内全部 PHP 资产及版本，对照 AWS 公告与 PHP 官方 8.2.35 补丁完成升级；无法立即升级的暴露面，先行套用 Cloudflare 公布的 WAF 规则并在 WAF 日志中加监控告警；安全团队同步复盘应急流程——按"48 小时全球闭环"的新标准，你们的 SLA 还差几倍差距。