过去一周，严重和关键的软件漏洞接连出现，影响了数千个主要网站，引发了人们的恐慌。PHP 中的两个远程代码执行（RCE）漏洞被称为 PHP2Shell，分别由 Calif 和 Wiz 两个独立的安全团队发现，两家团队都使用前沿 AI 模型来发现缺陷并构建可用的利用程序。据估计，该漏洞可能影响超过 70%的互联网，受影响的网站数以千计，包括维基媒体基金会、DeviantArt、英国政府的大部分机构、日本的银行系统以及 BBC 的《叛徒》网站。
其中一个漏洞 CVE-2026-109618 实际上曾在 2024 年由 PHP 基金会进行的安全审计中被标记出来，该基金会由 Sovereign Tech Agency 提供资金支持。当时团队因其他更紧迫的问题将其搁置，且无法就修复方案达成一致，他们认为仅凭这一理论性问题，无人能够构建真正的利用程序。如今 AI 模型改变了这一判断。它们非常擅长把模糊的漏洞描述转化为完整的利用程序，而且智能体现在可以在补丁发布后的瞬间扫描补丁差异，逆向推导出缺陷所在。
禁运期在一名用户 petecooper 于 Hacker News 上发帖讨论这些 CVE 时被打破，他似乎并不知道存在禁运。PHP 团队匆忙将补丁发布时间从周四 22 日提前到周三 21 日，但修复程序仍需再等一天才会发布。泄露出的 CVSS 评分 10.0 也并不准确，实际评分为 9.2。补丁发布时，该漏洞已经在野外被利用。
PHP 基金会将责任归咎于据报道泄露了利用视频的 Calif，以及在禁运解除前六小时就发布修复程序的 Chainguard。事件经过较为混乱，但似乎是多个相互关联的失误让攻击者得以在管理员打补丁之前入侵系统。
来源: Hacker News · 由HeadlinesBriefing整理摘要